Alternativ Sujetnimm: wéi e VPN-Server identifizéiert gëtt

Äre Client refuséiert en Zertifikat, deem seng Kette propper validéiert, an de Feeler seet, datt den Numm net iwwereneen ass. Dës Noriicht geet net dorëms, wien den Zertifikat ënnerschriwwen huet. Si geet ëm d'Extensioun vun den alternativen Sujetnimm, déi d'Identitéiten dréit, déi den Zertifikat däerf duerstellen, an dorëms, ob d'Identitéit, déi Dir konfiguréiert hutt, do an der rächter Form erschéngt. Vertrauen äntwert, wien en ënnerschriwwen huet, während d'Nimmprüfung äntwert, zu wéien Host en gehéiert.

Wat de Client tatsächlech vergläicht

De Client verwandelt Är Konfiguratioun an eng Referenzidentitéit: en Hostnumm, eng Adress oder en identifiant spezifesch fir de Protokoll. Dann sicht en d'Identitéit am Zertifikat, andeem en d'Regelen vum benotzte Protokoll uwent. Nëmmen Aschreiwunge vum selwechten Typ zielen, dofir kann eng DNS-Aschreiwung keng Adress erfëllen, an de Verglach geschitt, egal ob een de Zertifikat kuckt oder net.

Wann d'Referenzidentitéit an dëser Extensioun fehlt, schléit d'Prüfung fehl, och wann den ale gemeinsamen Numm entsprécht. En Zertifikat kann legal un eng Firma ausgestallt ginn an trotzdem de falsche fir vpn.example.com sinn, wann den Numm ni agebaut gouf. De Feeler ass eng Nummdiskrepanz, och wann den Zertifikat echt ass.

DNS-Nimm an IP-Adressen sinn getrennt Aschreiwungen

E Profil, deen op 203.0.113.10 weist, während den Zertifikat nëmmen vpn.example.com opzielt, gëtt refuséiert, well d'Pakete kommen, awer d'Identitéit entsprécht net. DNS-Nimm an Adressliteralen ginn als ënnerschiddlech Aschreiwungstypen gespäichert, an dat engt ersetzt ni dat anert. Dofir kann e Service iwwer d'Adress erreechbar sinn an trotzdem iwwer e Profil onbrauchbar sinn, deen déi Adress benotzt.

Jokerzeeche befollegen och hiren eegene Regelen: en Jokerzeeche deckt eng eenzeg Etikett of, net all Numm ënner enger Domain. DNS-Verglach ass net grouss- a klengschrëftempfindlech, aner Identifikatiounstypen awer, dofir kann e Wäert, deen um Écran identesch ausgesäit, an engem strikte Verglach fehlschloen. Préift d'Regelen vum benotzten Identitéitstyp, amplaz Zeechenketten mat deenen Ae ze vergläichen. En Numm an d'Extensioun derbäizesetzen ass eng Ausstellungsentscheedung, net eppes, wat eng Client-Astellung liwwere kann.

Préift den Zertifikat, deen d'Verbindung tatsächlech benotzt huet

Liest d'Material, deen den aktiven Endpunkt presentéiert, net eng Datei, déi vun enger Verwaltungssäit kopéiert gouf. En Load Balancer oder eng Ersatzinstanz kann eppes anescht presentéieren wéi den Zertifikat, dee viru Méint eropgelueden gouf, an deen Ënnerscheed ass an enger Konsole onsichtbar.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

De Block vun den alternativen Sujetnimm, d'Kett vum Aussteller an d'Validitéitsperiod gehéieren an déiselwecht Lies, well eng Nummdiskrepanz an en Ofleef verschidden Feeler erginn. Vergläicht all Numm aus dësem Block mam Identitéit, déi am Profil konfiguréiert ass, Zeechen fir Zeechen, a notéiert, wéi en Typ et ass. D'Kommand widder der Adressform vum Endpunkt widderhuelen weist, ob den Zertifikat béid Identitéiten deckt oder nëmmen eng. Eng frëndlech Sujetaffichage an enger Verwaltungskonsole ass keen Validéierungsresultat a seet näischt iwwer d'Nimm, déi d'Extensioun enthält.

Den gemeinsamen Numm ass net déi modern Quell vun der Wourecht

Browsere an déi meescht TLS-Bibliothéike ignoréieren den gemeinsamen Numm elo fir d'Hostnumm-Match an konsultéieren d'Extensioun. E puer VPN-Cliente vergläichen nach ëmmer fir d'éischt den gemeinsamen Numm oder gräifen drop zréck, wann d'Extensioun fehlt, an dofir kann een Zertifikat an engem Browser duerchkommen an an engem Client fehlschloen. Déiselwecht Nimmprifung kann op enger Plattform duerchkommen an op enger anerer fehlschloen, ouni datt den Zertifikat sech iwwerhaapt ännert.

Fannt eraus, wéi ee Feld Äre Client liest, ier Dir decidéiert, datt den Zertifikat falsch ass. Zwee Cliente op déiselwechtem Endpunkt kënnen der Meenung verscheede sinn, an déi Meenungsverscheedenheet ass Informatioun iwwer de Client, net iwwer den Zertifikat.

Reparéiert d'Ausstellung oder de Profil, net d'Prüfung

Wann e Profil ëm en Alias gebaut gouf, entweder riicht en op den dokumentéierten Hostnumm aus oder stellt den Zertifikat fir den Alias nei aus a setzt en an engem geplangte Fënster an. D'Warnung ze berouegen ass keng drëtt Optioun, well d'Prüfung deen eenzegen Schrëtt ass, deen en ënnerschriwwenen Zertifikat un dësen bestëmmten Host bënnt. En ewechzehuelen heescht, datt all Zertifikat vun der selwechter Autoritéit de Server ersetze kann, deen Dir erreiche wollt.

D'Erneierung soll d'virgesinn Nimm an den Zweck behalen, amplaz just den Ofleefdatum no vir ze réckelen. Eng Erneierung, déi en Numm verléiert, ass eng nei Stéierung, déi fir den nächsten Neistart geplangt ass, an si kënnt meeschtens ouni Warnung, well den ale Zertifikat nach gülteg war, wéi d'Ännerung gemaach gouf.

Hält d'erwaart Identitéit, d'Nimm, déi presentéiert goufen, an d'Kett fest, déi se ënnerschriwwen huet. Dës Opzeechnung mécht d'nächst Erneierung zu engem Verglach amplaz zu enger Enquête. D'Definitioun vun der Extensioun steet an RFC 5280, wann Dir eng bestëmmt Ausstellung musst kontrolléieren.