Alternatīvie subjekta nosaukumi: kā tiek identificēts VPN serveris

Jūsu klients noraida sertifikātu, kura ķēde tiek tīri validēta, un kļūda saka, ka nosaukums neatbilst. Šis ziņojums nav par to, kas parakstīja sertifikātu. Tas ir par subjekta alternatīvo nosaukumu paplašinājumu, kas satur identitātes, ko sertifikāts drīkst pārstāvēt, un par to, vai jūsu konfigurētā identitāte tur parādās pareizajā formā. Uzticība atbild, kas to parakstīja, bet nosaukuma pārbaude atbild, kuram resursdatoram tas pieder.

Ko klients faktiski salīdzina

Klients pārvērš jūsu konfigurāciju atsauces identitātē: resursdatora nosaukumā, adresē vai protokolam raksturīgā identifikatorā. Tad tas meklē šo identitāti sertifikātā, piemērojot izmantotā protokola atbilstības noteikumus. Tiek skaitīti tikai viena veida ieraksti, tāpēc DNS ieraksts nevar apmierināt adresi, un salīdzināšana notiek neatkarīgi no tā, vai kāds sertifikātu aplūko.

Ja šajā paplašinājumā nav atsauces identitātes, pārbaude neizdodas pat tad, ja vecais kopējais nosaukums atbilst. Sertifikāts var būt likumīgi izsniegts uzņēmumam un tomēr būt nepareizs vpn.example.com, ja nosaukums nekad netika iekļauts. Neveiksme ir nosaukuma neatbilstība, lai gan sertifikāts ir īsts.

DNS nosaukumi un IP adreses ir atsevišķi ieraksti

Profils, kas norāda uz 203.0.113.10, kamēr sertifikātā uzskaitīts tikai vpn.example.com, tiek noraidīts, jo paketes ierodas, bet identitāte neatbilst. DNS nosaukumi un burtiskas adreses tiek glabātas kā dažādi ierakstu veidi, un viens nekad neaizstāj otru. Tāpēc pakalpojums var būt sasniedzams pēc adreses un tomēr neizmantojams ar profilu, kas izmanto šo adresi.

Aizstājējzīmes arī ievēro savus noteikumus: aizstājējzīme aptver vienu apzīmējumu, nevis katru nosaukumu zem domēna. DNS salīdzināšana nav reģistrjutīga, kamēr citu identifikatoru veidi ir, tāpēc vērtība, kas ekrānā izskatās identiska, var neizturēt stingru salīdzināšanu. Pārbaudiet izmantotā identitātes veida atbilstības noteikumus, nevis salīdziniet virknes ar aci. Nosaukuma pievienošana paplašinājumam ir izsniegšanas lēmums, nevis kaut kas, ko var nodrošināt klienta iestatījums.

Pārbaudiet sertifikātu, ko savienojums faktiski izmantoja

Lasiet materiālu, ko uzrāda aktīvais galapunkts, nevis failu, kas nokopēts no administrēšanas lapas. Slodzes balansētājs vai aizvietotāja instance var uzrādīt ko citu nekā pirms mēnešiem augšupielādēto sertifikātu, un šī atšķirība konsolē nav redzama.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Subjekta alternatīvo nosaukumu bloks, izsniedzēja ķēde un derīguma periods ietilpst vienā lasījumā, jo nosaukuma neatbilstība un derīguma beigas rada dažādas kļūdas. Salīdziniet katru šī bloka nosaukumu ar profilā konfigurēto identitāti zīmi pa zīmei un atzīmējiet, kāda veida tas ir. Atkārtojot komandu ar galapunkta adreses formu, redzams, vai sertifikāts aptver abas identitātes vai tikai vienu. Draudzīgs subjekta attēlojums pārvaldības konsolē nav validācijas rezultāts un neko nepasaka par to, kādi nosaukumi ir paplašinājumā.

Kopējais nosaukums nav mūsdienu patiesības avots

Pārlūki un lielākā daļa TLS bibliotēku tagad ignorē kopējo nosaukumu resursdatora nosaukuma atbilstībai un konsultējas ar paplašinājumu. Daži VPN klienti joprojām vispirms salīdzina kopējo nosaukumu vai atgriežas pie tā, kad paplašinājuma nav, un tāpēc viens sertifikāts var iziet pārlūkā un neiziet klientā. Tā pati nosaukuma pārbaude var iziet vienā platformā un neiziet citā, sertifikātam nemaz nemainoties.

Noskaidrojiet, kuru lauku lasa jūsu klients, pirms nolemt, ka sertifikāts ir nepareizs. Divi klienti vienā galapunktā var nesaskanēt, un šī nesaskaņa ir informācija par klientu, nevis par sertifikātu.

Labojiet izsniegšanu vai profilu, nevis pārbaudi

Kad profils tika veidots ap aizstājvārdu, vai nu novirziet to uz dokumentēto resursdatora nosaukumu, vai izsniedziet sertifikātu aizstājvārdam no jauna un izvietojiet to plānotā logā. Brīdinājuma apklusināšana nav trešā iespēja, jo pārbaude ir vienīgais solis, kas saista parakstītu sertifikātu ar šo konkrēto resursdatoru. To noņemot, jebkurš sertifikāts no tās pašas iestādes var ieņemt servera vietu, kuru gribējāt sasniegt.

Atjaunošanai būtu jāsaglabā paredzētie nosaukumi un mērķis, nevis tikai jāpabīda derīguma beigu datums uz priekšu. Atjaunošana, kas pazaudē nosaukumu, ir jauns pārtraukums, kas ieplānots nākamajai palaišanai, un tas parasti nāk bez brīdinājuma, jo vecais sertifikāts izmaiņu laikā vēl bija derīgs.

Pierakstiet gaidīto identitāti, uzrādītos nosaukumus un ķēdi, kas tos parakstīja. Šis ieraksts pārvērš nākamo atjaunošanu salīdzinājumā, nevis izmeklēšanā. Paplašinājuma definīcija ir RFC 5280, ja jāpārbauda konkrēta izsniegšana.