Alternatyvūs subjekto vardai: kaip identifikuojamas VPN serveris

Jūsų klientas atmeta sertifikatą, kurio grandinė validuojama švariai, o klaida sako, kad vardas nesutampa. Ta žinutė ne apie tai, kas pasirašė sertifikatą. Ji apie subjekto alternatyvių vardų plėtinį, kuriame saugomos tapatybės, kurias sertifikatas gali atstovauti, ir apie tai, ar jūsų sukonfigūruota tapatybė ten pasirodo tinkama forma. Pasitikėjimas atsako, kas jį pasirašė, o vardo patikra atsako, kuriam pagrindiniam kompiuteriui jis priklauso.

Ką klientas iš tikrųjų lygina

Klientas jūsų konfigūraciją paverčia atskaitos tapatybe: pagrindinio kompiuterio vardu, adresu arba protokolo specifiniu identifikatoriumi. Tada jis ieško tos tapatybės sertifikate, taikydamas naudojamo protokolo atitikimo taisykles. Skaičiuojami tik to paties tipo įrašai, todėl DNS įrašas negali patenkinti adreso, o palyginimas atliekamas nepriklausomai nuo to, ar kas nors žiūri į sertifikatą.

Kai to plėtinio atskaitos tapatybės nėra, patikra nepavyksta, net jei senasis bendrasis vardas sutampa. Sertifikatas gali būti teisėtai išduotas įmonei ir vis tiek būti netinkamas vpn.example.com, jei vardas niekada nebuvo įtrauktas. Nepavykimas yra vardo neatitikimas, nors sertifikatas yra tikras.

DNS vardai ir IP adresai yra atskiri įrašai

Profilis, nukreiptas į 203.0.113.10, kai sertifikate nurodytas tik vpn.example.com, atmetamas, nes paketai ateina, bet tapatybė nesutampa. DNS vardai ir tiesioginiai adresai saugomi kaip skirtingi įrašų tipai, ir vienas niekada nepakeičia kito. Todėl paslauga gali būti pasiekiama adresu ir vis tiek būti nenaudinga per profilį, kuris naudoja tą adresą.

Pakaitos simboliai taip pat laikosi savo taisyklių: pakaitos simbolis apima vieną žymą, o ne kiekvieną vardą po domenu. DNS palyginimas neatsižvelgia į didžiąsias ir mažąsias raides, o kiti identifikatorių tipai atsižvelgia, todėl ekrane identiškai atrodanti reikšmė gali nepraeiti griežto palyginimo. Tikrinkite naudojamo tapatybės tipo atitikimo taisykles, o ne lyginkite eilutes akimis. Vardo pridėjimas prie plėtinio yra išdavimo sprendimas, o ne tai, ką gali pateikti kliento nustatymas.

Patikrinkite sertifikatą, kurį ryšys iš tikrųjų naudojo

Skaitykite medžiagą, kurią pateikia aktyvusis galinis taškas, o ne failą, nukopijuotą iš administravimo puslapio. Apkrovos balansuotojas arba pakeitimo egzempliorius gali pateikti ką nors kita nei prieš mėnesius įkeltas sertifikatas, ir tas skirtumas konsolėje nematomas.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Subjekto alternatyvių vardų blokas, išdavėjo grandinė ir galiojimo laikotarpis priklauso tam pačiam skaitymui, nes vardo neatitikimas ir galiojimo pabaiga duoda skirtingas klaidas. Palyginkite kiekvieną to bloko vardą su profilyje sukonfigūruota tapatybe po ženklą ir atkreipkite dėmesį, kokio jis tipo. Pakartojus komandą su galinio taško adreso forma matyti, ar sertifikatas apima abi tapatybes, ar tik vieną. Draugiškas subjekto rodymas valdymo konsolėje nėra validavimo rezultatas ir nieko nesako apie tai, kokius vardus turi plėtinys.

Bendrasis vardas nėra šiuolaikinis tiesos šaltinis

Naršyklės ir dauguma TLS bibliotekų dabar nepaiso bendrojo vardo, kai lyginamas pagrindinio kompiuterio vardas, ir kreipiasi į plėtinį. Kai kurie VPN klientai vis dar pirmiausia lygina bendrąjį vardą arba jo ima, kai plėtinio nėra, ir taip vienas sertifikatas gali praeiti naršyklėje ir nepraeiti kliente. Ta pati vardo patikra gali praeiti vienoje platformoje ir nepraeiti kitoje, sertifikatui visai nesikeičiant.

Išsiaiškinkite, kurį lauką skaito jūsų klientas, prieš nuspręsdami, kad sertifikatas netinkamas. Du klientai tame pačiame galiniame taške gali nesutarti, ir tas nesutarimas yra informacija apie klientą, o ne apie sertifikatą.

Taisykite išdavimą arba profilį, o ne patikrą

Kai profilis buvo sukurtas aplink slapyvardį, arba nukreipkite jį į dokumentuotą pagrindinio kompiuterio vardą, arba iš naujo išduokite sertifikatą slapyvardžiui ir įdiekite jį suplanuotu laiku. Įspėjimo nutildymas nėra trečias variantas, nes patikra yra vienintelis žingsnis, susiejantis pasirašytą sertifikatą su šiuo konkrečiu pagrindiniu kompiuteriu. Ją pašalinus bet kuris tos pačios institucijos sertifikatas gali pakeisti serverį, kurį ketinote pasiekti.

Atnaujinimas turėtų išsaugoti numatytus vardus ir paskirtį, o ne tik pastumti galiojimo pabaigos datą į priekį. Atnaujinimas, kuris praranda vardą, yra naujas sutrikimas, suplanuotas kitam paleidimui, ir jis paprastai ateina be įspėjimo, nes senasis sertifikatas pakeitimo metu dar galiojo.

Užfiksuokite laukiamą tapatybę, pateiktus vardus ir grandinę, kuri juos pasirašė. Tas įrašas paverčia kitą atnaujinimą palyginimu, o ne tyrimu. Plėtinio apibrėžimas yra RFC 5280, jei reikia patikrinti konkretų išdavimą.