OpenVPN verify-x509-name: subject, name жана name-prefix

Адегенде шайкештирүү түрүн, анан текстти окуңуз: verify-x509-name директивасы туура көрүнүп, бирок ишенүүнү ойлогон эмес сертификатты кабыл алышы мүмкүн. Күтүлгөн тексти бирдей, бирок түрлөрү башка эки сап — эки башка талап. Адегенде түрдү, анан текстти окуңуз. Директиваны туташууга кошумча шарт катары караңыз, бүт текшерүү катары эмес.

Опция чындыгында эмнени ырастайт

Директива каршы тараптын сертификаты алып жүрүүгө тийиш болгон инсандыкты атайт. Салыштыруу ийгиликсиз болсо, OpenVPN кол алышууну токтотот жана туннель көтөрүлбөйт. Профилдеги калган нерселердин баары күчүндө: сертификат ишенимдүү CAга чынжырланууга тийиш жана ролду текшерүү өтүүгө тийиш, ошондуктан бул кошумча шарт, алмаштыргыч эмес. Ат күтүүсүн канааттандырып, ролду текшерүүдөн өтпөгөн профиль бузук бойдон калат, жана журнал адатта ошондой дейт.

Ал браузер жасаган хост атын текшерүүдөн да башкача. Браузер аттарды өзүнүн TLS стегинин эрежелери боюнча subjectтин алтернативдик аттары менен шайкештирет, ал эми OpenVPN сертификаттын бир талаасын сиз тандаган түр менен салыштырат. Ошондуктан браузер стилиндеги хост атын директивага коюу сертификат кызматты чын эле камтыса да шайкешсиздик жаратышы мүмкүн.

subject: толук айырмалоочу ат, тамга тамгасы менен

Түр жазылбаганда демейки subject болуп саналат, жана күтүлгөн маани сертификаттын толук subject DNин кайра чыгарууга тийиш. Талаалардын тартиби, бөлгүчтөр, боштуктар жана escaping баары эсептелет, анткени салыштыруу коддолгон сап боюнча жүрөт. Түрдү калтырсаңыз, үч салыштыруунун эң катуусун тандадыңыз. Косметикалык айырманы куткара турган нормалдаштыруу кадамы жок. Муну биринчи жаңыртуудан мурун билген оң, кийин эмес.

Бул катуулук жаңыртуулардын ортосунда назик. Атрибуттарды кайра иреттеген, кошумча талаа киргизген же маанинин escaping ыкмасын өзгөрткөн CA ошол эле машина үчүн жаңы сап жаратат, жана жылдар бою иштеген директива кийинки чыгарылышта ийгиликсиз боло баштайт. Кабыл алынган DNди өзгөрүүлөр журналында сактоо кийинки жаңыртууну жөнөкөй айырмага айландырат. Оператор толук DN жарыялап, анын формасына кепилдик берсе, subject орундуу тандоо; башка жерде кууш талааны чындыкка ылайык сактоо жеңил.

name: бир талаа, адатта жалпы ат

Түр name subjectтин бир талаасын салыштырат. Профиль башкача айтпаса, бул талаа жалпы ат, жана күтүлгөн маани так ошол талаа, анын айланасындагы DN эмес.

Капкан — заманбап сертификаттар кызматтын атын дайыма CNге салбайт. Көпчүлүгү аны subjectтин алтернативдик атында алып жүрүп, CNди бош же жалпы калтырат, ошондуктан браузер кабыл алган сертификат бул салыштыруудан өтпөй калышы мүмкүн. Күтүүнү жазганга чейин сизге чын эле берилген сертификатты карап, профиль кайсы талааны тандаарын ырастаңыз. Бош CNди ат менен салыштыруу — шайкешсиздик, конфигурация кырсыгы эмес.

name-prefix: атайын кенен, ошондуктан алкагын чектеңиз

Түрү name-prefix күтүү тандалган талаанын башталышына дал келет. Бул ат коюу схемасы үчүн ыңгайлуу, ал эми бөлүшүлгөн нерсенин баары үчүн кооптуу.

Күтүү катары vpn.example алынса, vpn.example.com жана vpn.example.net экөө тең өтмөк, чынжырдын калганы ишенимдүү болсо. Кенендик — бул өзгөчөлүк, жана жазуу менен негизделиши керек болгон бөлүк. Префикс CA менен ат коюу схемасы сиздики болсо орундуу, ал эми коомдук CA ошол эле үлгүдө чыгарса алда канча алсыз. Схема ийкемдүүлүк талап кылса, кардар текшерүүсүн кеңейтүүнүн ордуна аны CAда чектеңиз.

Түрдү идентификатордон тандап, анан далилдеңиз

Оператор көздөгөн инсандыктан артка карай иштеңиз. Ал толук DN жарыялап, аны туруктуу сактаса, subject ошону билдирет. Кызматты жалпы ат менен атаса, колдонуңуз name. Ат коюу схемасына ээ болуп, анын бүт мейкиндигин кабыл алса, name-prefix муну ачык айтат.

Жаңыртуулар — директива сынала турган жер. Бекитилген инсандыкты эски файл менен эмес, жаңы сертификат менен салыштырыңыз, анткени жаңы акыркы чекит дареги жаңы сертификат инсандыгын билдирбейт. Директиваны тааныш дарек жооп берди деп эле өчүрбөңүз: жеткиликтүүлүк менен көздөлгөн каршы тарап — ар башка фактылар, ал эми дарек бир нерсенин жооп бергенин гана далилдейт. Так катаны жана аттын ачык маалыматтарын тазаланган отчетко жазыңыз, анткени ат шайкешсиздигин эч кандай жеке ачкыч материалынын жардамысыз көрсөтүүгө болот.

Колдоого алынган оңдоодон кийин бардык көздөлгөн текшерүүлөрдү күйгүзүп кайра туташып, чын эле керектүү ресурсту текшериңиз. Ийгилик көздөлгөн сервердин кабыл алынганын билдирет, кандайдыр бир сертификаттын мажбурлап өткөрүлгөнүн эмес. Расмий колдонмо OpenVPN 2.6 manual үч түрдү жана алардын ишеним жазууларын документтештирет, жана жеткирүүчүнүн интерфейси профилге каршы келгенде шилтеме жасалуучу булак ушул.