SSTP-Zertifikat passt net: den Numm, deen Äre Server presentéiere muss

De Client vergläicht den Hostnumm aus dem Profil mam Zertifikat a kontrolléiert duerno Kette a Zweck. Reparéiert de Profil oder d'Zertifikat, ni d'Validatioun.

SSTP Client akzeptéiert de Server eréischt, wann d'TLS-Validatioun gelungen ass, an déi Kontroll vergläicht en Numm, eng Kette an en Zweck. Den Numm kënnt aus dem Verbindungsprofil, net aus der Adress, déi Dir zoufälleg pingë kënnt. Wann eng vun den dräi net passt, mellt de Client e Zertifikatsproblem a kënnt ni bei d'Login-Ufro un.

Den Numm am Profil entscheet, wat kontrolléiert gëtt

SSTP bedreift TLS iwwer TCP 443, dofir behuet de Client sech wéi all aneren TLS-Client: hie hëlt den Hostnumm aus dem Profil, freet deen Numm un a vergläicht d'Zertifikat domat. Tippt eng IP-Adress an de Profil an de Verglach gëtt en IP-Adresseverglach, deen déi meescht Serverzertifikater net erfëllen.

Dovunner kann en Browsertest geléngen, während d'VPN feelt, well de Browser en aneren Numm benotzt huet wéi de Profil. Déiselwecht Opdeelung erschéngt, wann Split-Horizon-DNS den VPN-Hostnumm op eng intern Adress opléist, während de Browser eng ëffentlech erreecht huet. Richt den Profil fir d'éischt un den dokumentéierten Hostnumm aus, a vergläicht duerno Zertifikater. Alles anescht, wat Dir virdru ännert, ass Vermuttung.

Wat d'Serverzertifikat droe muss

Modern Cliente vergläiche mat der Erweiderung vun de alternativen Nimm vum Sujet, dofir muss den Hostnumm do als DNS-Andrag stoen. Nëmmen en allgemengen Numm ass net genuch fir déi haiteg Validatiounsstapelen, an e Platzhalter deckt ee Label of an net all Subdomain, déi Dir erfillt. Dräi Zertifikater weisen d'Grenz: den richtegen Numm mat deem falschen Zweck validéiert d'Identitéit a feelt duerno bei der Zweckkontroll, den richtegen Numm a Zweck mat engem fehlenden Tëschezertifikat feele bei der Kette, an en Numm, deen nëmmen am allgemengen Numm steet, feelt éier ee vun deenen zwee iwwerhaapt zielt.

D'Zertifikat brauch och den Zweck Serverauthentifikatioun, de Wäert fir déi erweidert Schlësselnotzung, deen an Microsofts SSTP-Spezifikatioun genannt ass, also serverAuth mat der Objektkennung 1.3.6.1.5.5.7.3.1. Schlësselnotzung an eng gëlteg Kette komplettéieren de Set. En Zertifikat, dat um Server existéiert, fir den richtegen Numm ausgestallt ass, awer nëmme fir d'Clientauthentifikatioun, feelt trotzdem.

Kette a Stonn virun de Logindaten kontrolléieren

Zäit- a Vertrauensfeeler ginn déiselwecht siichtbar Resultat wéi eng Numm-Diskrepanz, an déi zwee sinn där méi bëlleg ze diagnostizéieren wéi e Passwuertproblem. Kontrolléiert d'Stonn vum Server an d'Stonn vum Client a liest duerno d'Kette sou, wéi de Client se gesäit:

# from the client, or any host that runs openssl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -ext subjectAltName
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -verify_return_error </dev/null
# on the Windows server that holds the SSTP listener
w32tm /query /status

Déi éischt Kommando dréckt den Numm, de Gëltegkeetsfënster an déi alternativ Nimm, mat deenen de Client vergläiche wäert. Déi zweet mellt Verifikatiounsfeeler mat der Kette sou, wéi se presentéiert gëtt, an do erschéngt en fehlenden Tëschezertifikat. Ënner Windows seet Iech d'Ufro vum Zäitservice, ob d'Stonn korrigéiert gëtt oder einfach ofgedriwwen ass.

Eng intern CA füügt nach eng Bedingung derbäi: de Client muss där CA vertrauen. Installéiert d'Organisatiouns-Wuerzel iwwer hire geneemten Verdeelungskanal, net vun enger Säit, déi en Ersatzzertifikat ubitt, well déi Entscheedung ass dat ganzt Vertrauensmodell am Klenge.

Servervalidatioun a Benotzerauthentifikatioun sinn noenee Stufen mat ënnerschiddleche Feeler. E Zertifikatsfeeler heescht, datt de Client dem Server ni vertraut huet, während e verworfent Passwuert heescht, datt hien him vertraut huet an d'Logindaten falsch waren. D'Zertifikatsvalidatioun auszeschalten, fir bei d'Passwuert-Ufro ze kommen, hëlt d'Garantie ewech amplaz se ze reparéieren. Fir ze beweisen, datt de Rescht vum Wee funktionéiert, test dee selwechten Hostnumm an dee selwechten Port vun engem Client, deen der Kette schonn vertraut, a loosst de deployten Profil a Rou.

Numm oder Zertifikat korrigéieren an dann erëm testen

Dräi Bedingunge bestëmmen d'Reparatur. Wann den Numm am Profil falsch ass, korrigéiert de Profil oder füügt de fehlenden Numm zum Zertifikat dobäi. Wann d'Kette onkomplett ass, installéiert den Tëschezertifikat um Server. Wann den Zweck falsch ass, stellt en nei aus, amplaz ronderëm ze flécken.

No der Ännerung verbënnt Iech erëm mam ënnerstëtzten Client a bestätegt, datt d'Login-Ufro erschéngt an duerno datt den Tunnel eropkënnt. Notéiert den benotzten Hostnumm, den Aussteller an den Oflafdatum am Ticket. Dee Rekord ass et, deen déi nächst Erneierung zu enger geplangter Aufgab mécht amplaz zu engem weidere Ausfall, an hie weist der nächster Persoun, wéi eng vun den dräi Bedingunge tatsächlech gebrach war.

Ähnlech Artikelen