OpenVPN verify-x509-name: subject, name ir name-prefix

Pirmiausia perskaitykite atitikimo tipą, tada tekstą: verify-x509-name direktyva gali atrodyti teisinga ir vis tiek priimti sertifikatą, kuriuo neketinote pasitikėti. Dvi eilutės su tuo pačiu laukiamu tekstu, bet skirtingais tipais yra skirtingi reikalavimai. Pirmiausia skaitykite tipą, tada tekstą. Traktuokite direktyvą kaip dar vieną ryšio sąlygą, o ne kaip visą patikrą.

Ką iš tikrųjų teigia parinktis

Direktyva įvardija tapatybę, kurią turi turėti kitos pusės sertifikatas. Kai palyginimas nepavyksta, OpenVPN nutraukia rankos paspaudimą ir tunelis nepakyla. Visa kita profilyje galioja toliau: sertifikatas turi būti susietas su patikima CA, o vaidmens patikra turi praeiti, taigi tai papildoma sąlyga, o ne pakaitalas. Profilis, kuris atitinka vardo lūkestį ir nepraeina vaidmens patikros, vis tiek yra sugedęs, ir žurnalas paprastai tai pasako.

Jis skiriasi ir nuo naršyklės atliekamo pagrindinio kompiuterio vardo tikrinimo. Naršyklė lygina vardus su alternatyviaisiais subject vardais pagal savo TLS krūvos taisykles, o OpenVPN lygina vieną sertifikato lauką su jūsų pasirinktu tipu. Todėl naršyklės stiliaus vardo įklijavimas į direktyvą gali duoti neatitikimą net tada, kai sertifikatas iš tikrųjų apima paslaugą.

subject: visas skiriamasis vardas, ženklas po ženklo

Kai tipas neparašytas, numatytasis yra subject, o laukiama reikšmė turi atkartoti visą sertifikato subject DN. Laukų tvarka, skyrikliai, tarpai ir escaping visi skaičiuojami, nes palyginimas vyksta su užkoduota eilute. Jei praleisite tipą, pasirinkote griežčiausią iš trijų palyginimų. Nėra normalizavimo žingsnio, kuris išgelbėtų kosmetinį skirtumą. Tai verta žinoti prieš pirmą atnaujinimą, o ne po jo.

Šis griežtumas trapnus tarp atnaujinimų. CA, kuri pertvarko atributus, įterpia papildomą lauką arba keičia reikšmės escaping būdą, sukuria naują eilutę tai pačiai mašinai, ir direktyva, kuri veikė metus, pradeda nepavykti kitame išdavime. Priimto DN laikymas pakeitimų žurnale paverčia kitą atnaujinimą skirtumu. Kai operatorius skelbia visą DN ir garantuoja jo formą, subject yra pagrįstas pasirinkimas; kitur siauresnį lauką lengviau išlaikyti teisingą.

name: vienas laukas, paprastai bendrasis vardas

Tipas name lygina vieną subject lauką. Jei profilis nesako kitaip, tas laukas yra bendrasis vardas, o laukiama reikšmė yra būtent tas laukas, o ne jį supantis DN.

Kabliukas tas, kad šiuolaikiniai sertifikatai ne visada įrašo paslaugos vardą į CN. Daugelis neša jį alternatyviajame subject varde, o CN palieka tuščią arba bendrą, todėl naršyklės priimtas sertifikatas vis tiek gali nepraeiti šio palyginimo. Prieš rašydami lūkestį apžiūrėkite sertifikatą, kuris jums iš tikrųjų išduotas, ir patvirtinkite, kurį lauką profilis pasirenka. Tuščias CN, lyginamas su vardu, yra neatitikimas, o ne konfigūracijos nelaimė.

name-prefix: iš prigimties platus, todėl apribokite apimtį

Tipo name-prefix lūkestis atitinka pasirinkto lauko pradžią. Tai patogu pavadinimų schemai ir pavojinga viskam, kas bendra.

Jei lūkestis yra vpn.example, abu vpn.example.com ir vpn.example.net praeitų, jei likusi grandinės dalis patikima. Plotis yra savybė, o kartu ir dalis, kurią reikia pagrįsti raštu. Priešdėlis yra pagrįstas, kai CA ir pavadinimų schema yra jūsų, ir daug silpnesnis, kai viešoji CA išduoda pagal tą patį šabloną. Jei schemai reikia lankstumo, apribokite ją CA, o ne plėskite kliento patikrą.

Pasirinkite tipą iš identifikatoriaus, tada įrodykite

Dirbkite atgal nuo tapatybės, kurią ketina naudoti operatorius. Jei jis skelbia visą DN ir laiko jį stabilų, subject tai išreiškia. Jei paslaugą vadina bendruoju vardu, naudokite name. Jei jis turi pavadinimų schemą ir priima visą jos erdvę, name-prefix tai pasako aiškiai.

Atnaujinimai yra vieta, kur direktyva tikrinama. Lyginkite patvirtintą tapatybę su nauju sertifikatu, o ne su senu failu, nes naujas galinio taško adresas nereiškia naujos sertifikato tapatybės. Netrinkite direktyvos vien todėl, kad atsako pažįstamas adresas: pasiekiamumas ir numatyta kita pusė yra skirtingi faktai, o adresas įrodo tik tai, kad kažkas atsakė. Užfiksuokite tikslią klaidą ir viešus vardo duomenis išvalytoje ataskaitoje, nes vardo neatitikimą galima parodyti be jokios privataus rakto medžiagos.

Po palaikomo pataisymo vėl prisijunkite su visomis numatytomis patikromis ir patikrinkite išteklį, kurio iš tikrųjų reikia. Sėkmė reiškia, kad numatytas serveris buvo priimtas, o ne kad koks nors sertifikatas buvo prastumtas. Oficialus vadovas OpenVPN 2.6 manual dokumentuoja tris tipus ir jų pasitikėjimo pastabas, ir tai yra nuoroda, kuria remiamasi, kai tiekėjo sąsaja nesutaria su profiliu.