OpenVPN verify-x509-name: subject, name и name-prefix

Прво прочитајте го типот на совпаѓање, потоа текстот: verify-x509-name директива може да изгледа исправна и сепак да прифати сертификат на кој не сте имале намера да му верувате. Две линии со ист очекуван текст, но различни типови се два различни барања. Прво прочитајте го типот, потоа текстот. Третирајте ја директивата како уште еден услов за врската, а не како целата проверка.

Што всушност тврди опцијата

Директивата именува идентитет што сертификатот на другата страна мора да го носи. Кога споредбата не успее, OpenVPN го прекинува ракувањето и не се крева тунел. Сѐ друго во профилот сѐ уште важи: сертификатот мора да се врзе на доверлив CA и проверката на улогата мора да помине, па ова е дополнителен услов, а не замена. Профил што го исполнува очекувањето за името и не поминува на проверката на улогата сѐ уште е расипан, и дневникот вообичаено го кажува тоа.

Тој се разликува и од проверката на името на домаќинот што ја прави прелистувачот. Прелистувачот ги споредува имињата со алтернативните имиња на subject според правилата на својот TLS стек, додека OpenVPN споредува едно поле на сертификатот со типот што сте го избрале. Затоа вметнување име на домаќин во стил на прелистувач во директивата може да даде несовпаѓање дури и кога сертификатот навистина ја покрива услугата.

subject: целото различно име, знак по знак

Кога типот не е напишан, стандардно е subject и очекуваната вредност мора да го репродуцира целиот subject DN на сертификатот. Редоследот на полињата, разделувачите, празните места и escaping сите се сметаат, бидејќи споредбата се врши врз низата како што е кодирана. Ако го испуштите типот, сте го избрале најстрогиот од трите споредби. Нема чекор на нормализација што би спасил козметичка разлика. Тоа вреди да се знае пред првото обновување, а не потоа.

Таа строгост е кревка меѓу обновувањата. CA што ги прередува атрибутите, вметнува дополнително поле или го менува начинот на escaping на вредноста создава нова низа за истата машина, и директива што работела со години почнува да паѓа при следното издавање. Чувањето на прифатениот DN во записот за промени го претвора следното обновување во разлика. Онаму каде операторот објавува целосен DN и ја гарантира неговата форма, subject е разумен избор; на други места потесно поле е полесно да се одржи точно.

name: едно поле, обично општото име

Типот name споредува едно поле на subject. Освен ако профилот не кажува поинаку, тоа поле е општото име, и очекуваната вредност е точно тоа поле, а не DN околу него.

Замката е што современите сертификати не секогаш го ставаат името на услугата во CN. Многумина го носат во алтернативно име на subject и го оставаат CN празно или општо, па сертификат што прелистувачот го прифаќа сепак може да не ја помине оваа споредба. Пред да го напишете очекувањето, проверете го сертификатот што навистина ви е издаден и потврдете кое поле го избира профилот. Празно CN споредено со име е несовпаѓање, а не конфигурациска незгода.

name-prefix: намерно широк, затоа ограничете го опсегот

Очекување од тип name-prefix се поклопува со почетокот на избраното поле. Тоа е погодно за шема за именување и опасно за сѐ што е споделено.

Ако очекувањето е vpn.example, би поминале и vpn.example.com и vpn.example.net , под услов остатокот од ланецот да е доверлив. Ширината е карактеристиката, и истовремено делот што треба писмено да се оправда. Префиксот е разумен кога CA и шемата за именување се ваши, и многу послаб кога јавна CA издава во истиот образец. Ако шемата бара флексибилност, ограничете ја кај CA наместо да ја шири проверката на клиентот.

Изберете го типот од идентификаторот, потоа докажете го

Работете наназад од идентитетот што операторот го има на ум. Ако објавува целосен DN и го држи стабилен, subject тоа го изразува. Ако услугата ја именува со општото име, користете name. Ако поседува шема за именување и го прифаќа целиот нејзин простор, name-prefix тоа го кажува експлицитно.

Обновувањата се местото каде директивата се проверува. Споредете го одобрениот идентитет со новиот сертификат, а не со старата датотека, бидејќи нова адреса на крајна точка не значи нов идентитет на сертификат. Не ја бришете директивата само затоа што позната адреса одговара: достапноста и предвидената друга страна се различни факти, а адресата докажува само дека нешто одговорило. Запишете ја точната грешка и јавните детали за името во исчистен извештај, бидејќи несовпаѓањето на името може да се покаже без никаков материјал од приватен клуч.

По поддржана поправка, поврзете се повторно со сите предвидени проверки и проверете го ресурсот што навистина ви треба. Успехот значи дека предвидениот сервер е прифатен, а не дека некој сертификат е протнат. Официјалниот прирачник OpenVPN 2.6 manual ги документира трите типови и нивните белешки за доверба, и тоа е референцата што се цитира кога интерфејсот на добавувачот не се согласува со профилот.