Субъектінің балама атаулары: VPN сервері қалай анықталады

Клиентіңіз тізбегі таза тексерілетін сертификатты қабылдамайды, ал қате атау сәйкес келмейтінін айтады. Бұл хабарлама сертификатқа кім қол қойғаны туралы емес. Ол сертификат ұсынуға рұқсат етілген сәйкестіктерді тасымалдайтын субъектінің балама атаулары кеңейтімі және сіз конфигурациялаған сәйкестіктің сол жерде дұрыс пішімде көрінуі туралы. Сенім кім қол қойғанына жауап береді, ал атауды тексеру оның қай хостқа тиесілі екеніне жауап береді.

Клиент шын мәнінде нені салыстырады

Клиент конфигурацияңызды анықтамалық сәйкестікке айналдырады: хост атауы, мекенжай немесе протоколға тән идентификатор. Содан кейін пайдаланылып отырған протоколдың сәйкестендіру ережелерін қолданып, сертификаттан сол сәйкестікті іздейді. Тек бір типтегі жазбалар есептеледі, сондықтан DNS жазбасы мекенжайды қанағаттандыра алмайды, және салыстыру адам сертификатқа қараса да, қарамаса да жүреді.

Сол кеңейтімде анықтамалық сәйкестік болмаса, ескі жалпы атау сәйкес келсе де тексеру сәтсіз аяқталады. Сертификат компанияға заңды түрде беріліп, бірақ атау ешқашан қосылмаса, vpn.example.com үшін дұрыс болмауы мүмкін. Сертификат шынайы болса да, сәтсіздік — атаудың сәйкессіздігі.

DNS атаулары мен IP мекенжайлары — бөлек жазбалар

203.0.113.10 мекенжайына сілтейтін профиль, ал сертификат тек vpn.example.com тізімін берсе, қабылданбайды, өйткені пакеттер жетеді, бірақ сәйкестік сәйкес келмейді. DNS атаулары мен тікелей мекенжайлар әртүрлі жазба типтері ретінде сақталады, және біреуі ешқашан екіншісін алмастырмайды. Сондықтан қызмет мекенжай арқылы қолжетімді бола тұрып, сол мекенжайды пайдаланатын профиль арқылы пайдалануға жарамсыз болуы мүмкін.

Орынбасар таңбалар да өз ережелеріне бағынады: орынбасар таңба бір белгіні қамтиды, домен астындағы барлық атауды емес. DNS салыстыруы үлкен-кіші әріпке сезімтал емес, ал идентификатордың басқа типтері сезімтал, сондықтан экранда бірдей көрінетін мән қатаң салыстыруда сәтсіз болуы мүмкін. Пайдаланылып отырған сәйкестік типінің сәйкестендіру ережелерін тексеріңіз, жолдарды көзбен салыстырмаңыз. Кеңейтімге атау қосу — беру туралы шешім, клиент параметрі бере алатын нәрсе емес.

Қосылым шын мәнінде пайдаланған сертификатты тексеріңіз

Әкімшілік бетінен көшірілген файлды емес, жұмыс істеп тұрған соңғы нүкте ұсынатын материалды оқыңыз. Жүктеме теңгерушісі немесе ауыстыру данасы бірнеше ай бұрын жүктелген сертификаттан өзгеше нәрсе ұсынуы мүмкін, және бұл айырмашылық консольде көрінбейді.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Субъектінің балама атаулары блогы, беруші тізбегі және жарамдылық мерзімі бір оқуға жатады, өйткені атаудың сәйкессіздігі мен мерзімнің бітуі әртүрлі қателер туғызады. Сол блоктағы әр атауды профильде конфигурацияланған сәйкестікпен әріп-әріп салыстырыңыз және оның қандай тип екенін белгілеңіз. Команданы соңғы нүктенің мекенжай пішіміне қайталау сертификат екі сәйкестікті де қамтитынын немесе тек біреуін ғана қамтитынын көрсетеді. Басқару консольіндегі достық субъект көрінісі валидация нәтижесі емес және кеңейтім қандай атауларды қамтитыны туралы ештеңе айтпайды.

Жалпы атау — қазіргі заманғы шындық көзі емес

Браузерлер мен көптеген TLS кітапханалары енді хост атауын сәйкестендіру үшін жалпы атауды елемейді және кеңейтімге жүгінеді. Кейбір VPN клиенттері әлі де алдымен жалпы атауды салыстырады немесе кеңейтім жоқ кезде оған оралады, сол себепті бір сертификат браузерде өтіп, клиентте сәтсіз болуы мүмкін. Сол атау тексеруі бір платформада өтіп, екіншісінде сәтсіз болуы мүмкін, сертификат мүлде өзгермейді.

Сертификат дұрыс емес деп шешпес бұрын клиентіңіз қай өрісті оқитынын анықтаңыз. Бір соңғы нүктедегі екі клиент келіспеуі мүмкін, және бұл келіспеушілік сертификат туралы емес, клиент туралы ақпарат.

Тексеруді емес, беруді немесе профильді түзетіңіз

Профиль бүркеншік аттың айналасында құрылған болса, оны құжатталған хост атауына бағыттаңыз немесе бүркеншік ат үшін сертификатты қайта беріп, жоспарланған терезеде орналастырыңыз. Ескертуді үнсіз қалдыру — үшінші нұсқа емес, өйткені тексеру қол қойылған сертификатты осы нақты хостқа байланыстыратын жалғыз қадам. Оны алып тастау дегеніміз — сол органның кез келген сертификаты сіз жеткіңіз келген сервердің орнына тұра алады.

Жаңарту көзделген атаулар мен мақсатты сақтауы керек, тек мерзімнің біту күнін алға жылжыту емес. Атауды жоғалтатын жаңарту — келесі қайта іске қосуға жоспарланған жаңа үзіліс, және ол әдетте ескертусіз келеді, өйткені өзгерту кезінде ескі сертификат әлі жарамды болатын.

Күтілетін сәйкестікті, ұсынылған атауларды және оларға қол қойған тізбекті жазып алыңыз. Бұл жазба келесі жаңартуды тергеу емес, салыстыруға айналдырады. Кеңейтім анықтамасы RFC 5280 құжатында, нақты беруді тексеру қажет болса.