OpenVPN verify-x509-name: subject, name a name-prefix

Liest als éischt den Typ vum Ofgläich an duerno den Text: eng verify-x509-name Direktiv kann richteg ausgesinn an trotzdem en Zertifikat unhuelen, deem Dir net wëllt vertrauen. Zwou Linnen mat dem selwechten erwaarten Text, awer verschiddenen Typen sinn ënnerschiddlech Ufuerderungen. Liest als éischt den Typ, duerno den Text. Behandelt d'Direktiv als eng weider Bedingung fir d'Verbindung, net als déi ganz Prüfung.

Wat d'Optioun tatsächlech behaapt

D'Direktiv nennt eng Identitéit, déi den Zertifikat vun der Géigesäit droen muss. Wann de Verglach feelt, OpenVPN brécht den Handshake of an et kënnt keen Tunnel erop. Alles aneres am Profil gëllt weider: den Zertifikat muss sech op eng vertrauenswürdeg CA verketten, an d'Rollenprüfung muss duerchgoen, also ass dëst eng zousätzlech Bedingung an net en Ersatz. E Profil, deen d'Nummenserwaardung erfëllt an d'Rollenprüfung feelt, ass nach ëmmer futti, an de Log seet dat meeschtens.

Et ënnerscheet sech och vun der Hostnumm-Validéierung vun engem Browser. E Browser gläicht Nimm mat den alternativen Nimm vum subject no de Regele vu sengem TLS-Stack of, wärend OpenVPN ee Zertifikatsfeld mat dem Typ vergläicht, deen Dir gewielt hutt. Dofir kann en agefügten Hostnumm am Browser-Stil an der Direktiv en Ënnerscheed maachen, och wann den Zertifikat den Déngscht wierklech deckt.

subject: de kompletten ënnerscheedlechen Numm, Zeechen fir Zeechen

Mat subject, dem Standard wann keen Typ geschriwwe gëtt, muss de erwaarte Wäert den ganze subject-DN vum Zertifikat reproduzéieren. D'Feldreihenfolge, d'Trennzeechen, d'Espazen an d'Escaping zielen alleguer, well de Verglach op der Zeecheketten leeft, wéi se kodéiert ass. Loosst Dir den Typ ewech, hutt Dir déi strengste vun den dräi Vergläicher gewielt. Et gëtt kee Normaliséierungsschratt, deen en ëmmerhi kosmeteschen Ënnerscheed rett. Dat ass virun der éischter Erneierung ze wëssen, net duerno.

Déi Strengtheet ass iwwer Erneierungen hi brécheleg. Eng CA, déi Attributer ëmsortéiert, en zousätzlecht Feld afüügt oder d'Escaping vun engem Wäert ännert, produzéiert fir déiselwecht Maschinn eng nei Zeecheketten, an eng Direktiv, déi Joeren funktionéiert huet, fänkt bei der nächster Ausstellung un ze scheiteren. Den akzeptéierten DN am Ännerungsprotokoll ze behalen mécht aus der nächster Erneierung en Ënnerscheed. Wou den Operateur en kompletten DN publizéiert an seng Form garantéiert, ass subject eng vernünfteg Wiel; soss ass en englescht Feld méi einfach wouer ze halen.

name: ee Feld, meeschtens den allgemengen Numm

Den Typ name vergläicht een eenzegt subject-Feld. Ausser de Profil seet anescht, ass dat Feld den allgemengen Numm, an de erwaarte Wäert ass genee dat Feld, an net den DN ronderëm.

Den Hake si modern Zertifikater setzen den Déngschtnumm net ëmmer an den CN. Vill droen en an engem alternativen Numm vum subject an loossen den CN eidel oder allgemeng, sou datt en Zertifikat, deen e Browser akzeptéiert, nach ëmmer bei dësem Verglach scheitere kann. Kuckt Iech den Zertifikat un, deen Dir tatsächlech ausgestallt krut, ier Dir d'Erwaardung schreift, a bestätegt, wéi ee Feld de Profil wielt. En eidelen CN am Verglach mat engem Numm ass en Ënnerscheed, keen Ëmstand vun der Konfiguratioun.

name-prefix: bewosst breet, also begrenzt en

Eng Erwaardung vum Typ name-prefix passt op den Ufank vum gewielte Feld. Dat ass bequem fir en Nummenschema a geféierlech fir alles, wat gedeelt gëtt.

Mat vpn.example als Erwaardung géife béid vpn.example.com an vpn.example.net duerchgoen, wann de Rescht vun der Ketten vertraut ass. D'Breet ass d'Funktioun, an zugläich deen Deel, deen een schrëftlech muss begrënnen. E Präfix ass vernünfteg, wann d'CA an den Nummenschema är sinn, a vill méi schwaach, wann eng ëffentlech CA an datselwecht Muster ausstellt. Wann de Schema Flexibilitéit brauch, begrenzt en un der CA, amplaz d'Clientprüfung ze verbreeden.

Wielt den Typ aus dem Identifiant a bewise se dann

Schafft vun der Identitéit zeréck, déi den Operateur virgesäit. Wann hien e kompletten DN publizéiert an en stabil hält, subject dréckt dat aus. Wann hien den Déngscht mam allgemengen Numm nennt, benotzt name. Wann hien en Nummenschema besëtzt an de ganze Raum dovu akzeptéiert, name-prefix seet dat ausdrécklech.

Erneierungen sinn d'Plaz, wou d'Direktiv gepréift gëtt. Vergläicht déi geneemegt Identitéit mat dem neien Zertifikat an net mat der aler Datei, well eng nei Endpunktadress keng nei Zertifikatsidentitéit bedeit. Läscht d'Direktiv net just well eng vertraut Adress äntwert: D'Erreechbarkeet an déi virgesinn Géigesäit si verschidde Fakten, an d'Adress beweist just, datt eppes geäntwert huet. Halt de geneeë Fehler an d'ëffentlech Nummdetailer an engem propperen Rapport fest, well en Nummënnerscheed ouni all private Schlësselmaterial kann gewise ginn.

No enger ënnerstëtzter Korrektur verbënnt Iech erëm mat allen virgesinnenen Prüfungen a verifizéiert d'Ressource, déi Dir wierklech braucht. Erfolleg heescht, datt de virgesinne Server akzeptéiert gouf, net datt een Zertifikat duerchgezwongen gouf. Den offiziellen Handbuch OpenVPN 2.6 manual dokumentéiert déi dräi Typen an hir Vertrauensnotizen, a si ass d'Referenz, déi een zitéiert, wann eng Verkäuferinterface dem Profil widdersprécht.