SSTP സർട്ടിഫിക്കറ്റ് പൊരുത്തക്കേട്: നിങ്ങളുടെ സർവർ അവതരിപ്പിക്കേണ്ട പേര്

SSTP ക്ലയന്റ് TLS സാധുത പരിശോധന വിജയിച്ചതിന് ശേഷം മാത്രമേ സർവർ സ്വീകരിക്കൂ, ആ പരിശോധന ഒരു പേരും ഒരു ചെയിനും ഒരു ഉദ്ദേശ്യവും താരതമ്യം ചെയ്യുന്നു. പേര് കണക്ഷൻ പ്രൊഫൈലിൽ നിന്നാണ് വരുന്നത്, നിങ്ങൾക്ക് യാദൃച്ഛികമായി പിംഗ് ചെയ്യാനാകുന്ന വിലാസത്തിൽ നിന്നല്ല. മൂന്നിൽ ഒന്ന് പൊരുത്തപ്പെടുന്നില്ലെങ്കിൽ, ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് പ്രശ്നം റിപ്പോർട്ട് ചെയ്യുകയും ലോഗിൻ പ്രോംപ്റ്റിൽ എത്തുകയുമില്ല.

ഏതാണ് പരിശോധിക്കേണ്ടതെന്ന് പ്രൊഫൈൽ നാമം തീരുമാനിക്കുന്നു

SSTP TCP 443-ന് മേൽ TLS പ്രവർത്തിപ്പിക്കുന്നു, അതിനാൽ ക്ലയന്റ് മറ്റേതൊരു TLS ക്ലയന്റിനെയും പോലെ പ്രവർത്തിക്കുന്നു: പ്രൊഫൈലിൽ നിന്ന് ഹോസ്റ്റ്നാമം എടുത്ത്, ആ പേര് അഭ്യർത്ഥിച്ച്, സർട്ടിഫിക്കറ്റ് അതുമായി താരതമ്യം ചെയ്യുന്നു. പ്രൊഫൈലിൽ IP വിലാസം നൽകിയാൽ താരതമ്യം IP വിലാസങ്ങളുടെ താരതമ്യമാകും, അത് മിക്ക സർവർ സർട്ടിഫിക്കറ്റുകളും പാലിക്കുന്നില്ല.

അതിനാൽ ബ്രൗസർ പരിശോധന വിജയിച്ചേക്കാം, പക്ഷേ VPN പരാജയപ്പെടുന്നു, കാരണം ബ്രൗസർ പ്രൊഫൈലിൽ നിന്ന് വ്യത്യസ്തമായ പേര് ഉപയോഗിച്ചു. split-horizon DNS VPN ഹോസ്റ്റ്നാമം ആന്തരിക വിലാസത്തിലേക്ക് പരിഹരിക്കുമ്പോൾ ബ്രൗസർ പൊതു വിലാസത്തിലെത്തിയാൽ അതേ വിഭജനം പ്രത്യക്ഷപ്പെടുന്നു. ആദ്യം പ്രൊഫൈൽ രേഖപ്പെടുത്തിയ ഹോസ്റ്റ്നാമുമായി യോജിപ്പിക്കുക, പിന്നീട് സർട്ടിഫിക്കറ്റുകൾ താരതമ്യം ചെയ്യുക. അതിന് മുമ്പ് നിങ്ങൾ മാറ്റുന്ന മറ്റെന്തും ഊഹമാണ്.

സർവർ സർട്ടിഫിക്കറ്റിൽ എന്തുണ്ടാകണം

ആധുനിക ക്ലയന്റുകൾ വിഷയത്തിന്റെ ബദൽ നാമ വിപുലീകരണവുമായി താരതമ്യം ചെയ്യുന്നു, അതിനാൽ ഹോസ്റ്റ്നാമം അവിടെ DNS എൻട്രിയായി ഉണ്ടായിരിക്കണം. പൊതു നാമം മാത്രം ഇന്നത്തെ സാധുതാ സ്റ്റാക്കുകൾക്ക് പര്യാപ്തമല്ല, വൈൽഡ്കാർഡ് ഒരു ലേബൽ മാത്രം ഉൾക്കൊള്ളുന്നു, നിങ്ങൾ സൃഷ്ടിക്കുന്ന ഏത് ഉപഡൊമെയ്നിനെയുമല്ല. മൂന്ന് സർട്ടിഫിക്കറ്റുകൾ അതിർത്തി കാണിക്കുന്നു: ശരിയായ പേര് തെറ്റായ ഉദ്ദേശ്യത്തോടെ ഐഡന്റിറ്റി സാധൂകരിച്ച് പിന്നീട് ഉദ്ദേശ്യ പരിശോധനയിൽ പരാജയപ്പെടുന്നു, ശരിയായ പേരും ഉദ്ദേശ്യവും എന്നാൽ കാണാത്ത ഇന്റർമീഡിയറ്റ് ഉണ്ടെങ്കിൽ ചെയിനിൽ പരാജയപ്പെടുന്നു, പൊതു നാമത്തിൽ മാത്രം കാണുന്ന പേര് ആ രണ്ടിൽ ഏതെങ്കിലും പ്രധാനമാകുന്നതിന് മുമ്പേ പരാജയപ്പെടുന്നു.

സർട്ടിഫിക്കറ്റിന് സർവർ പ്രാമാണീകരണ ഉദ്ദേശ്യവും ആവശ്യമാണ്: മൈക്രോസോഫ്റ്റിന്റെ SSTP വിവരണത്തിൽ പറയുന്ന വിപുലീകൃത കീ ഉപയോഗ മൂല്യം, അതായത് ഒബ്ജക്റ്റ് ഐഡന്റിഫയർ 1.3.6.1.5.5.7.3.1 ഉള്ള serverAuth. കീ ഉപയോഗവും സാധുവായ ചെയിനും കൂട്ടം പൂർത്തിയാക്കുന്നു. സർവറിൽ ഉള്ള, ശരിയായ പേരിന് നൽകിയതെങ്കിലും ക്ലയന്റ് പ്രാമാണീകരണത്തിന് മാത്രമുള്ള സർട്ടിഫിക്കറ്റും പരാജയപ്പെടുന്നു.

ലോഗിൻ വിവരങ്ങൾക്ക് മുമ്പ് ചെയിനും ക്ലോക്കും പരിശോധിക്കുക

സമയവും വിശ്വാസവും പരാജയപ്പെടുന്നത് പേര് പൊരുത്തക്കേടിന് സമാനമായ ദൃശ്യ ഫലം നൽകുന്നു, രണ്ടും പാസ്വേഡ് പ്രശ്നത്തെക്കാൾ വിലകുറഞ്ഞതായി രോഗനിർണയം ചെയ്യാം. സർവറിന്റെ ക്ലോക്കും ക്ലയന്റിന്റെ ക്ലോക്കും പരിശോധിച്ച്, ക്ലയന്റ് കാണുന്നതുപോലെ ചെയിൻ വായിക്കുക:

# from the client, or any host that runs openssl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -ext subjectAltName
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -verify_return_error </dev/null
# on the Windows server that holds the SSTP listener
w32tm /query /status

ആദ്യ കമാൻഡ് പേരും സാധുതാ വിൻഡോയും ക്ലയന്റ് താരതമ്യം ചെയ്യുന്ന ബദൽ നാമങ്ങളും പ്രിന്റ് ചെയ്യുന്നു. രണ്ടാമത്തേത് അവതരിപ്പിച്ച ചെയിനോടൊപ്പം സ്ഥിരീകരണ പിശകുകൾ റിപ്പോർട്ട് ചെയ്യുന്നു, കാണാത്ത ഇന്റർമീഡിയറ്റ് അവിടെയാണ് കാണുന്നത്. Windows-ൽ സമയ സേവന ക്വറി ക്ലോക്ക് ശരിയാക്കപ്പെടുന്നുണ്ടോ അതോ വെറുതെ വ്യതിചലിച്ചതാണോ എന്ന് പറയുന്നു.

ആന്തരിക CA ഒരു ഉപാധികൂടി ചേർക്കുന്നു: ക്ലയന്റ് ആ CA-യെ വിശ്വസിക്കണം. ഓർഗനൈസേഷണൽ റൂട്ട് അതിന്റെ അംഗീകൃത വിതരണ ചാനലിലൂടെ ഇൻസ്റ്റാൾ ചെയ്യുക, പകരം സർട്ടിഫിക്കറ്റ് വാഗ്ദാനം ചെയ്യുന്ന പേജിൽ നിന്നല്ല, കാരണം ആ തീരുമാനം മുഴുവൻ വിശ്വാസ മാതൃകയുടെ ചെറുരൂപമാണ്.

സർവർ സാധുതയും ഉപയോക്തൃ പ്രാമാണീകരണവും വ്യത്യസ്ത പരാജയങ്ങളുള്ള തുടർച്ചയായ ഘട്ടങ്ങളാണ്. സർട്ടിഫിക്കറ്റ് പിശക് എന്നാൽ ക്ലയന്റ് സർവറിനെ ഒരിക്കലും വിശ്വസിച്ചില്ല എന്നാണ്, നിരസിക്കപ്പെട്ട പാസ്വേഡ് എന്നാൽ അത് സർവറിനെ വിശ്വസിച്ചു, വിവരങ്ങൾ തെറ്റായിരുന്നു എന്നാണ്. പാസ്വേഡ് പ്രോംപ്റ്റിൽ എത്താൻ സർട്ടിഫിക്കറ്റ് സാധുത പരിശോധന ഓഫ് ചെയ്യുന്നത് ഉറപ്പ് നന്നാക്കുന്നതിന് പകരം നീക്കം ചെയ്യുന്നു. ബാക്കി പാത പ്രവർത്തിക്കുന്നുവെന്ന് തെളിയിക്കാൻ, ചെയിനിനെ ഇതിനകം വിശ്വസിക്കുന്ന ക്ലയന്റിൽ നിന്ന് അതേ ഹോസ്റ്റ്നാമും പോർട്ടും പരിശോധിക്കുക, വിന്യസിച്ച പ്രൊഫൈൽ അതേപടി വിടുക.

പേരോ സർട്ടിഫിക്കറ്റോ തിരുത്തി വീണ്ടും പരിശോധിക്കുക

മൂന്ന് ഉപാധികളാണ് അറ്റകുറ്റപ്പണി തീരുമാനിക്കുന്നത്. പ്രൊഫൈൽ പേര് തെറ്റാണെങ്കിൽ പ്രൊഫൈൽ തിരുത്തുക അല്ലെങ്കിൽ കാണാത്ത പേര് സർട്ടിഫിക്കറ്റിൽ ചേർക്കുക. ചെയിൻ അപൂർണമാണെങ്കിൽ സർവറിൽ ഇന്റർമീഡിയറ്റ് ഇൻസ്റ്റാൾ ചെയ്യുക. ഉദ്ദേശ്യം തെറ്റാണെങ്കിൽ ചുറ്റും പാച്ച് ചെയ്യുന്നതിന് പകരം വീണ്ടും നൽകുക.

മാറ്റത്തിന് ശേഷം പിന്തുണയുള്ള ക്ലയന്റുമായി വീണ്ടും ബന്ധിപ്പിച്ച് ലോഗിൻ പ്രോംപ്റ്റ് പ്രത്യക്ഷപ്പെടുന്നുവെന്നും പിന്നീട് ടണൽ ഉയരുന്നുവെന്നും സ്ഥിരീകരിക്കുക. ടിക്കറ്റിൽ ഉപയോഗിച്ച ഹോസ്റ്റ്നാമം, ഇഷ്യൂവർ, കാലഹരണ തീയതി എന്നിവ രേഖപ്പെടുത്തുക. ആ രേഖയാണ് അടുത്ത പുതുക്കൽ മറ്റൊരു തടസ്സത്തിന് പകരം ഷെഡ്യൂൾ ചെയ്ത ജോലിയാക്കുന്നത്, കൂടാതെ മൂന്ന് ഉപാധികളിൽ ഏതാണ് യഥാർത്ഥത്തിൽ തകർന്നതെന്ന് അടുത്ത വ്യക്തിക്ക് കാണിക്കുന്നു.