Алтернативни имиња на субјектот: како се идентификува VPN сервер

Вашиот клиент го одбива сертификатот чијшто ланец се валидира чисто, а грешката вели дека името не се совпаѓа. Таа порака не е за тоа кој го потпишал сертификатот. Таа е за продолжувањето со алтернативни имиња на субјектот, кое ги носи идентитетите што сертификатот смее да ги претставува, и за тоа дали идентитетот што сте го конфигурирале се појавува таму во правилна форма. Довербата одговара кој го потпишал, а проверката на името одговара на кој хост му припаѓа.

Што клиентот всушност споредува

Клиентот ја претвора вашата конфигурација во референтен идентитет: име на хост, адреса или идентификатор специфичен за протоколот. Потоа го бара тој идентитет во сертификатот, применувајќи ги правилата за совпаѓање на протоколот што се користи. Се сметаат само записи од ист тип, па DNS запис не може да задоволи адреса, и споредбата се случува без разлика дали некој гледа во сертификатот.

Кога референтниот идентитет недостасува во тоа продолжување, проверката не успева дури и ако стариот заеднички назив се совпаѓа. Сертификат може законски да биде издаден на компанија и сепак да биде погрешен за vpn.example.com ако името никогаш не било вклучено. Неуспехот е несовпаѓање на име, иако сертификатот е вистински.

DNS имињата и IP адресите се одделни записи

Профил што покажува на 203.0.113.10 додека сертификатот наведува само vpn.example.com се одбива, бидејќи пакетите пристигнуваат, но идентитетот не се совпаѓа. DNS имињата и буквалните адреси се чуваат како различни типови записи, и едниот никогаш не го заменува другиот. Затоа услугата може да биде достапна преку адреса и сепак неупотреблива преку профил што ја користи таа адреса.

Џокер знаците исто така ги следат своите правила: џокер знак покрива една ознака, а не секое име под домен. DNS споредбата не прави разлика меѓу големи и мали букви, додека другите типови идентификатори прават, па вредност што изгледа идентично на екранот може да не помине строга споредба. Проверете ги правилата за совпаѓање за типот на идентитет што се користи, наместо да споредувате низи со око. Додавањето име во продолжувањето е одлука за издавање, а не нешто што може да го обезбеди поставка на клиентот.

Проверете го сертификатот што врската навистина го користела

Читајте го материјалот што го презентира активниот крај, а не датотека копирана од административна страница. Балансерот на оптоварување или заменска инстанца може да претстави нешто различно од сертификатот подигнат пред месеци, и таа разлика е невидлива во конзола.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Блокот со алтернативни имиња на субјектот, ланецот на издавачот и периодот на важност припаѓаат на исто читање, бидејќи несовпаѓањето на име и истекот даваат различни грешки. Споредете го секое име во тој блок со идентитетот конфигуриран во профилот, знак по знак, и забележете од кој тип е. Повторувањето на командата против адресната форма на крајот покажува дали сертификатот ги покрива двата идентитети или само еден. Пријателски приказ на субјектот во конзола за управување не е резултат од валидација и не кажува ништо за тоа кои имиња ги содржи продолжувањето.

Заедничкиот назив не е современ извор на вистината

Прелистувачите и повеќето TLS библиотеки сега го игнорираат заедничкиот назив за совпаѓање на име на хост и се консултираат со продолжувањето. Некои VPN клиенти сѐ уште прво го споредуваат заедничкиот назив или се враќаат на него кога продолжувањето недостасува, и така еден сертификат може да помине во прелистувач и да не помине во клиент. Истата проверка на име може да помине на една платформа и да не помине на друга, без сертификатот воопшто да се промени.

Откријте кое поле го чита вашиот клиент пред да одлучите дека сертификатот е погрешен. Два клиенти на истиот крај можат да не се согласат, а тоа несогласување е информација за клиентот, не за сертификатот.

Поправете го издавањето или профилот, не проверката

Кога профилот е изграден околу алијас, или пренасочете го кон документираното име на хост, или повторно издајте го сертификатот за алијасот и распоредете го во планиран прозорец. Замолчувањето на предупредувањето не е трета опција, бидејќи проверката е единствениот чекор што потпишан сертификат го врзува за овој конкретен хост. Неговото отстранување значи дека секој сертификат од истиот орган може да застане на местото на серверот што сакавте да го достигнете.

Обновувањето треба да ги зачува предвидените имиња и целта, а не само да го помести датумот на истекување напред. Обновување што губи име е нов прекин закажан за следното рестартирање, и тој обично доаѓа без предупредување бидејќи стариот сертификат сѐ уште бил валиден кога е направена промената.

Запишете го очекуваниот идентитет, имињата што биле претставени и ланецот што ги потпишал. Тој запис го претвора следното обновување во споредба наместо во истрага. Дефиницијата на продолжувањето е во RFC 5280 ако треба да проверите конкретно издавање.