OpenVPN verify-x509-name: subject, name un name-prefix

Vispirms izlasiet atbilstības tipu, tad tekstu: verify-x509-name direktīva var izskatīties pareiza un tomēr pieņemt sertifikātu, kuram jūs negribējāt uzticēties. Divas rindas ar vienu un to pašu gaidīto tekstu, bet dažādiem tipiem ir dažādas prasības. Vispirms lasiet tipu, tad tekstu. Uztveriet direktīvu kā vēl vienu savienojuma nosacījumu, nevis visu pārbaudi.

Ko opcija patiešām apgalvo

Direktīva nosauc identitāti, kas jānes otras puses sertifikātam. Kad salīdzināšana neizdodas, OpenVPN pārtrauc rokasspiedienu un tunelis nepaceļas. Viss pārējais profilā joprojām ir spēkā: sertifikātam jābūt ķēdē ar uzticamu CA, un lomas pārbaudei jāiztur, tāpēc šis ir papildu nosacījums, nevis aizstājējs. Profils, kas atbilst nosaukuma gaidām un neiztur lomas pārbaudi, joprojām ir bojāts, un žurnāls to parasti pasaka.

Tas atšķiras arī no pārlūka veiktās resursdatora nosaukuma validācijas. Pārlūks salīdzina nosaukumus ar subject alternatīvajiem nosaukumiem saskaņā ar sava TLS steka noteikumiem, bet OpenVPN salīdzina vienu sertifikāta lauku ar jūsu izvēlēto tipu. Tāpēc pārlūka stila resursdatora nosaukuma ielīmēšana direktīvā var radīt neatbilstību arī tad, ja sertifikāts patiešām aptver pakalpojumu.

subject: pilns atšķirīgais nosaukums, zīme pa zīmei

Kad tips nav rakstīts, noklusējums ir subject, un gaidītajai vērtībai jāatveido viss sertifikāta subject DN. Lauku secība, atdalītāji, atstarpes un escaping visi tiek ņemti vērā, jo salīdzināšana notiek ar kodēto virkni. Ja izlaižat tipu, esat izvēlējušies stingrāko no trim salīdzinājumiem. Nav normalizēšanas soļa, kas glābtu kosmētisku atšķirību. To ir vērts zināt pirms pirmās atjaunošanas, nevis pēc tam.

Šī stingrība ir trausla starp atjaunošanām. CA, kas pārkārto atribūtus, ievieto papildu lauku vai maina vērtības escaping veidu, rada jaunu virkni tai pašai mašīnai, un direktīva, kas darbojās gadiem, sāk neizdoties nākamajā izlaidumā. Pieņemtā DN glabāšana izmaiņu žurnālā pārvērš nākamo atjaunošanu starpībā. Kur operators publicē pilnu DN un garantē tā formu, subject ir saprātīga izvēle; citur šaurāku lauku ir vieglāk uzturēt patiesu.

name: viens lauks, parasti vispārpieņemtais nosaukums

Tips name salīdzina vienu subject lauku. Ja profils nepasaka citādi, šis lauks ir vispārpieņemtais nosaukums, un gaidītā vērtība ir tieši šis lauks, nevis ap to esošais DN.

Āķis ir tāds, ka mūsdienu sertifikāti ne vienmēr ievieto pakalpojuma nosaukumu CN. Daudzi to nes alternatīvajā subject nosaukumā un atstāj CN tukšu vai vispārīgu, tāpēc pārlūka pieņemts sertifikāts tomēr var neizturēt šo salīdzinājumu. Pirms rakstāt gaidu, apskatiet sertifikātu, kas jums patiešām izsniegts, un apstipriniet, kuru lauku profils izvēlas. Tukšs CN, salīdzināts ar nosaukumu, ir neatbilstība, nevis konfigurācijas negadījums.

name-prefix: apzināti plašs, tāpēc ierobežojiet tvērumu

Tipa name-prefix gaida atbilst izvēlētā lauka sākumam. Tas ir ērti nosaukumu shēmai un bīstami visam koplietotajam.

Ja gaida ir vpn.example, abi vpn.example.com un vpn.example.net izturētu, ja pārējā ķēde ir uzticama. Platums ir funkcija, un tas ir arī tas, kas jāpamato rakstiski. Prefikss ir saprātīgs, ja CA un nosaukumu shēma ir jūsu, un daudz vājāks, ja publiska CA izsniedz tajā pašā modelī. Ja shēmai vajag elastību, ierobežojiet to CA, nevis paplašiniet klienta pārbaudi.

Izvēlieties tipu pēc identifikatora, tad pierādiet to

Strādājiet atpakaļ no identitātes, ko operators paredz. Ja viņš publicē pilnu DN un uztur to stabilu, subject to izsaka. Ja viņš pakalpojumu nosauc vispārpieņemtajā nosaukumā, izmantojiet name. Ja viņam pieder nosaukumu shēma un viņš pieņem visu tās telpu, name-prefix to skaidri pasaka.

Atjaunošanas ir tā vieta, kur direktīva tiek pārbaudīta. Salīdziniet apstiprināto identitāti ar jauno sertifikātu, nevis ar veco failu, jo jauna galapunkta adrese nenozīmē jaunu sertifikāta identitāti. Nedzēsiet direktīvu tikai tāpēc, ka pazīstama adrese atbild: sasniedzamība un paredzētā otra puse ir dažādi fakti, un adrese pierāda tikai to, ka kaut kas atbildēja. Ierakstiet precīzo kļūdu un nosaukuma publiskos datus attīrītā pārskatā, jo nosaukuma neatbilstību var parādīt bez jebkāda privātās atslēgas materiāla.

Pēc atbalstītas labošanas atkārtoti pievienojieties ar visām paredzētajām pārbaudēm un pārbaudiet resursu, kas jums patiešām vajadzīgs. Panākumi nozīmē, ka paredzētais serveris tika pieņemts, nevis ka kāds sertifikāts tika iespiests cauri. Oficiālā rokasgrāmata OpenVPN 2.6 manual dokumentē trīs tipus un to uzticēšanās piezīmes, un tas ir atsauce, uz ko atsaukties, ja pārdevēja saskarne nesaskan ar profilu.