Субъекттин альтернативдик аттары: VPN сервери кантип аныкталат

Клиентиңиз чынжыры таза текшерилген сертификатты четке кагат, ал эми ката ат дал келбейт дейт. Бул билдирүү сертификатка ким кол койгону жөнүндө эмес. Ал сертификат көрсөтүүгө укуктуу идентификацияларды алып жүргөн субъекттин альтернативдик аттары кеңейтүүсү жана сиз конфигурациялаган идентификациянын ошол жерде туура формада көрүнүшү жөнүндө. Ишеним ким кол койгонун жооп кылат, ал эми ат текшерүү ал кайсы хостко таандык экенин жооп кылат.

Клиент чындыгында эмнени салыштырат

Клиент конфигурацияңызды шилтеме идентификацияга айландырат: хост аты, дарек же протоколго тиешелүү идентификатор. Андан кийин колдонулуп жаткан протоколдун дал келүү эрежелерин колдонуп, сертификаттан ошол идентификацияны издейт. Бир эле типтеги жазуулар эсептелет, ошондуктан DNS жазуусу даректи канааттандыра албайт, жана адам сертификатка карабасын карабасын салыштыруу жүрөт.

Ошол кеңейтүүдө шилтеме идентификация жок болсо, эски жалпы ат дал келсе да текшерүү ишке ашпайт. Сертификат компанияга мыйзамдуу түрдө берилиши мүмкүн, бирок ат эч качан кошулбаса, vpn.example.com үчүн туура эмес болуп калат. Сертификат чыныгы болсо да, ийгиликсиздик аттын дал келбестиги.

DNS аттары жана IP даректери өзүнчө жазуулар

203.0.113.10 дарегин көрсөткөн профиль, ал эми сертификат vpn.example.com гана тизмелесе, четке кагылат, анткени пакеттер жетет, бирок идентификация дал келбейт. DNS аттары жана түз даректер ар кандай жазуу типтери катары сакталат, жана бири эч качан экинчисин алмаштырбайт. Ошондуктан кызмат дарек аркылуу жеткиликтүү болуп, ошол даректи колдонгон профиль аркылуу колдонууга жараксыз болушу мүмкүн.

Атайын белгилер да өз эрежелерине баш ийет: атайын белги бир белгини камтыйт, домен астындагы бардык атты эмес. DNS салыштыруу чоң-кичине тамгага сезимтал эмес, ал эми идентификатордун башка типтери сезимтал, ошондуктан экранда бирдей көрүнгөн маани катуу салыштырууда ийгиликсиз болушу мүмкүн. Колдонулуп жаткан идентификация тибинин дал келүү эрежелерин текшериңиз, саптарды көз менен салыштырбаңыз. Кеңейтүүгө ат кошуу — берүү чечими, клиент параметри бере ала турган нерсе эмес.

Байланыш чындыгында колдонгон сертификатты текшериңиз

Администрациялык барактан көчүрүлгөн файлды эмес, иштеп турган акыркы чекит сунуштаган материалды окуңуз. Жүктөм теңдештиргичи же алмаштыруучу инстанция бир нече ай мурун жүктөлгөн сертификаттан башка нерсени сунушташы мүмкүн, жана бул айырма консолдо көрүнбөйт.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Субъекттин альтернативдик аттарынын блогу, берүүчүнүн чынжыры жана жарактуулук мөөнөтү бир окууга таандык, анткени аттын дал келбестиги жана мөөнөттүн бүтүшү ар кандай каталарды пайда кылат. Ошол блоктогу ар бир атты профилде конфигурацияланган идентификация менен тамга-тамга салыштырыңыз жана анын кайсы тип экенин белгилеңиз. Буйрукту акыркы чекиттин дарек формасына кайталоо сертификат эки идентификацияны тең камтыйбы же бирөөнү гана камтыйбы аныктайт. Башкаруу консолундагы достук субъект көрсөтүүсү валидациянын натыйжасы эмес жана кеңейтүү кайсы аттарды камтыйтыны жөнүндө эч нерсе айтпайт.

Жалпы ат азыркы чындыктын булагы эмес

Браузерлер жана көпчүлүк TLS китепканалары эми хост атын дал келтирүү үчүн жалпы атты этибарга албайт жана кеңейтүүгө кайрылат. Кээ бир VPN клиенттери дагы эле адегенде жалпы атты салыштырат же кеңейтүү жок болгондо ага кайтат, ошондуктан бир сертификат браузерде өтүп, клиентте ийгиликсиз болушу мүмкүн. Ошол эле ат текшерүү бир платформада өтүп, экинчисинде ийгиликсиз болушу мүмкүн, сертификат такыр өзгөрбөсө да.

Сертификат туура эмес деп чечпестен мурун клиентиңиз кайсы талааны окуганын аныктаңыз. Бир акыркы чекиттеги эки клиент макул болбой калышы мүмкүн, жана бул пикир келишпестик сертификат жөнүндө эмес, клиент жөнүндө маалымат.

Текшерүүнү эмес, берүүнү же профилди оңдоңуз

Профиль псевдонимдин айланасында курулган болсо, аны документтелген хост атына багыттаңыз же псевдоним үчүн сертификатты кайра берип, пландалган терезеде жайгаштырыңыз. Эскертүүнү унчукпай коюу үчүнчү вариант эмес, анткени текшерүү кол коюлган сертификатты ушул конкреттүү хостко байланыштырган жалгыз кадам. Аны алып салуу дегенибиз — ошол эле органдын каалаган сертификаты сиз жеткиңиз келген сервердин ордуна тура алат.

Жаңыртуу көздөлгөн аттарды жана максатты сакташы керек, мөөнөттүн бүтүү күнүн гана алдыга жылдыруу эмес. Атты жоготкон жаңыртуу — кийинки кайра баштоого пландалган жаңы үзгүлтүк, жана ал адатта эскертүүсүз келет, анткени өзгөртүү кезінде эски сертификат дагы эле жарактуу болчу.

Күтүлгөн идентификацияны, сунушталган аттарды жана аларга кол койгон чынжырды жазып алыңыз. Бул жазуу кийинки жаңыртууну иликтөө эмес, салыштырууга айландырат. Кеңейтүүнүн аныктамасы RFC 5280 ичинде, эгер конкреттүү берүүнү текшерүү керек болсо.