SSTP сертификатынын дал келбестиги: сервериңиз көрсөтүүгө тийиш болгон ат

SSTP кардар серверди TLS текшерүүсү ийгиликтүү болгондон кийин гана кабыл алат, жана бул текшерүү ат, чынжыр жана максатты салыштырат. Ат туташуу профилинен келет, кокустан пингдей алган даректен эмес. Үчөөнүн бири дал келбесе, кардар сертификат көйгөйүн билдирип, кирүү сунушуна эч качан жетпейт.

Профилдеги ат эмнени текшерүүнү аныктайт

SSTP TLS'ти TCP 443 аркылуу иштетет, ошондуктан кардар башка TLS кардарындай жүрүм-турум көрсөтөт: хост атын профилден алат, ошол атты сурап, сертификатты аны менен салыштырат. Профилге IP дарегин жазсаңыз, салыштыруу IP даректерин салыштырууга айланат, аны сервер сертификаттарынын көбү канааттандырбайт.

Ошондуктан браузердеги сыноо ийгиликтүү болушу мүмкүн, ал эми VPN ийгиликсиз болот, анткени браузер профилдегиден башка ат колдонгон. Ошондой эле бөлүнүү split-horizon DNS VPN хост атын ички дарекке чечкенде, ал эми браузер коомдук дарекке жеткенде пайда болот. Адегенде профилди документтелген хост атына шайкеш келтириңиз, андан кийин сертификаттарды салыштырыңыз. Анга чейин өзгөрткөн башка нерселердин баары божомол.

Сервер сертификатында эмне болушу керек

Заманбап кардарлар субъекттин альтернативдик аттары кеңейтүүсү менен салыштырат, ошондуктан хост аты ал жерде DNS жазуусу катары болушу керек. Жалпы ат гана азыркы текшерүү стектери үчүн жетишсиз, ал эми жапайы карта бир белгини камтыйт, сиз ойлоп тапкан каалаган субдоменди эмес. Үч сертификат чекти көрсөтөт: туура ат туура эмес максат менен инсандыкты ырастайт, анан максат текшерүүсүндө ийгиликсиз болот, туура ат жана максат жок ортолук сертификат менен чынжырда ийгиликсиз болот, ал эми жалпы атта гана кездешкен ат ошол экөөнүн мааниси боло электе эле ийгиликсиз болот.

Сертификатка сервердин аутентификация максаты да керек: Microsoft'тун SSTP спецификациясында аталган кеңейтилген ачкыч колдонуу мааниси, башкача айтканда 1.3.6.1.5.5.7.3.1 объект идентификатору бар serverAuth. Ачкыч колдонуу жана жарактуу чынжыр топтомду толуктайт. Серверде бар, туура атка берилген, бирок кардар аутентификациясына гана арналган сертификат да ийгиликсиз болот.

Кирүү маалыматтарынан мурун чынжырды жана саатты текшериңиз

Убакыт жана ишеним бузулуштары ат дал келбестигиндей көрүнүүчү натыйжа берет жана экөөнү тең сырсөз көйгөйүнөн арзан диагностикалоого болот. Сервердин саатын жана кардардын саатын текшериңиз, андан кийин чынжырды кардар көргөндөй окуңуз:

# from the client, or any host that runs openssl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -ext subjectAltName
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -verify_return_error </dev/null
# on the Windows server that holds the SSTP listener
w32tm /query /status

Биринчи буйрук атты, жарактуулук терезесин жана кардар салыштыра турган альтернативдик аттарды басып чыгарат. Экинчиси сунушталган чынжыр менен текшерүү каталарын билдирет, жана дал ошол жерде жок ортолук сертификат көрүнөт. Windows'то убакыт кызматынын сурамы саат оңдолуп жатканын же жөн эле ооп кеткенин айтат.

Ички CA дагы бир шарт кошот: кардар ошол CA'га ишениши керек. Уюмдук тамырды анын бекитилген таратуу каналы аркылуу орнотуңуз, алмаштыруучу сертификат сунуштаган барактан эмес, анткени бул чечим бүтүндөй ишеним моделинин кичине формасы.

Серверди текшерүү жана колдонуучуну аутентификациялоо ар кандай бузулуштары бар ырааттуу баскычтар. Сертификат катасы кардардын серверге эч качан ишенбегенин билдирет, ал эми четке кагылган сырсөз анын серверге ишенгенин жана маалыматтар туура эмес болгонун билдирет. Сырсөз сунушуна жетүү үчүн сертификат текшерүүсүн өчүрүү кепилдикти оңдоонун ордуна алып салат. Жолдун калган бөлүгү иштээрин далилдөө үчүн чынжырга мурунтан ишенген кардардан ушундай эле хост атын жана портту сынаңыз, ал эми жайгаштырылган профилди тийбей калтырыңыз.

Атты же сертификатты оңдоп, кайра сынаңыз

Оңдоону үч шарт аныктайт. Профилдин аты туура эмес болсо, профилди оңдоңуз же жок атты сертификатка кошуңуз. Чынжыр толук эмес болсо, ортолук сертификатты серверге орнотуңуз. Максат туура эмес болсо, айланасына жамаачы салгандын ордуна кайра чыгарыңыз.

Өзгөртүүдөн кийин колдоого алынган кардар менен кайра туташып, кирүү сунушу чыкканын, анан туннелдин көтөрүлгөнүн ырастаңыз. Билетке колдонулган хост атын, чыгаруучуну жана мөөнөтү бүтө турган күндү жазыңыз. Ошол жазуу кийинки жаңыртууну дагы бир үзгүлтүк эмес, пландалган ишке айландырат жана кийинки адамга үч шарттын кайсынысы чындап бузулганын көрсөтөт.