OpenVPN verify-x509-name: subject, name ба name-prefix

Эхлээд тохирлын төрлийг, дараа нь текстийг уншина уу: verify-x509-name заавар зөв харагдах боловч итгэхээр төлөвлөөгүй сертификатыг хүлээн авч болно. Хүлээгдэж буй текст нь ижил боловч төрөл нь өөр хоёр мөр нь өөр шаардлага юм. Эхлээд төрлийг, дараа нь текстийг уншина уу. Зааврыг холболтын нэмэлт нөхцөл гэж үзэх бөгөөд бүх шалгалт гэж үзэхгүй.

Энэ сонголт яг юуг баталж байна

Заавар нь нөгөө талын сертификат авч явах ёстой таних тэмдгийг нэрлэнэ. Харьцуулалт бүтэлгүйтвэл, OpenVPN гар барилтыг зогсоож, туннель гарахгүй. Профайлын бусад бүх зүйл хүчинтэй: сертификат нь итгэмжлэгдсэн CA-д гинжилж, дүрийн шалгалт давсан байх ёстой, тиймээс энэ нь нэмэлт нөхцөл бөгөөд орлуулалт биш. Нэрийн хүлээлтийг хангасан ч дүрийн шалгалтад унасан профайл эвдэрхий хэвээр, лог ихэвчлэн тэгж хэлдэг.

Энэ нь хөтчийн хийдэг хост нэрийн баталгаажуулалтаас ч ялгаатай. Хөтөч нь өөрийн TLS стекийн дүрмийн дагуу нэрсийг subject-ийн өөр нэрстэй тулгадаг бол OpenVPN нь сертификатын нэг талбарыг таны сонгосон төрлөөр харьцуулдаг. Тиймээс хөтчийн хэв маягийн хост нэрийг зааварт оруулах нь сертификат үйлчилгээг үнэхээр хамарч байсан ч зөрчил үүсгэж болно.

subject: бүтэн ялгах нэр, үсэг үсгээр

Төрөл бичигдээгүй үед анхдагч нь subject бөгөөд хүлээгдэж буй утга нь сертификатын бүтэн subject DN-ийг дахин гаргах ёстой. Талбарын дараалал, тусгаарлагч, зай, escaping бүгд тооцогдоно, учир нь харьцуулалт кодлогдсон мөр дээр явагдана. Төрлийг орхивол гурван харьцуулалтын хамгийн хатууг сонгосон байна. Гадаад төрхийн ялгааг аврах хэвийн болгох алхам байхгүй. Үүнийг эхний шинэчлэлтийн өмнө мэдэх нь зүйтэй, дараа нь биш.

Энэ хатуу байдал шинэчлэлтүүдийн хооронд эмзэг. Атрибутуудыг дахин эрэмбэлэх, нэмэлт талбар оруулах эсвэл утгын escaping аргыг өөрчлөх CA нь ижил машинд шинэ мөр үүсгэж, олон жил ажилласан заавар дараагийн гаргалт дээр унаж эхэлдэг. Хүлээн авсан DN-ийг өөрчлөлтийн бүртгэлд хадгалах нь дараагийн шинэчлэлтийг энгийн ялгаа болгоно. Оператор бүтэн DN нийтэлж, хэлбэрийг нь баталгаажуулдаг бол subject нь үндэслэлтэй сонголт; бусад газарт нарийн талбарыг үнэнч байлгах нь хялбар.

name: нэг талбар, ихэвчлэн нийтлэг нэр

Төрөл name нь subject-ийн нэг талбарыг харьцуулна. Профайл өөрөөр хэлээгүй бол тэр талбар нь нийтлэг нэр бөгөөд хүлээгдэж буй утга нь яг тэр талбар, түүний эргэн тойрны DN биш.

Хавх нь орчин үеийн сертификатууд үйлчилгээний нэрийг үргэлж CN-д тавьдаггүй. Олон нь түүнийг subject-ийн өөр нэрэнд авч явж, CN-ийг хоосон эсвэл ерөнхий орхидог тул хөтөч хүлээн авдаг сертификат энэ харьцуулалтад унаж болно. Хүлээлтийг бичихийн өмнө танд үнэхээр олгогдсон сертификатыг үзэж, профайл аль талбарыг сонгодогийг баталгаажуулаарай. Хоосон CN-ийг нэртэй харьцуулах нь зөрчил, тохиргооны осол биш.

name-prefix: зохиомжоор өргөн, тиймээс хүрээг хязгаарла

Төрлийн name-prefix хүлээлт сонгосон талбарын эхлэлтэй тохирно. Энэ нь нэрлэх схемд тохиромжтой, хуваалцсан бүхэнд аюултай.

Хүлээлт нь vpn.example байвал, vpn.example.com болон vpn.example.net хоёулаа өнгөрнө, гинжин хэлхээний үлдсэн хэсэг итгэмжлэгдсэн бол. Өргөн нь онцлог бөгөөд бичгээр үндэслэх ёстой хэсэг нь ч мөн адил. CA болон нэрлэх схем таных бол угтвар үндэслэлтэй, нийтийн CA ижил хэв маягаар олгодог бол хамаагүй сул. Схемд уян хатан байдал хэрэгтэй бол клиентийн шалгалтыг өргөтгөхийн оронд CA дээр хязгаарла.

Төрлийг таних тэмдэгээс сонгоод, дараа нь нотол

Операторын зорьж буй таних тэмдгээс ухраа ажилла. Бүтэн DN-ийг нийтэлж, тогтвортой барьж байгаа бол, subject үүнийг илэрхийлнэ. Үйлчилгээг нийтлэг нэрээр нэрлэдэг бол, ашигла name. Нэрлэх схем эзэмшиж, түүний бүх орон зайг хүлээн авдаг бол, name-prefix үүнийг тодорхой хэлнэ.

Шинэчлэлтүүд бол заавар шалгагддаг газар. Зөвшөөрөгдсөн таних тэмдгийг хуучин файлтай биш, шинэ сертификаттай харьцуул, учир нь шинэ төгсгөлийн цэгийн хаяг нь шинэ сертификатын таних тэмдэг гэсэн үг биш. Танил хаяг хариулж байгаа учраас л зааврыг бүү устга: хүртээмж ба зорьсон нөгөө тал нь өөр өөр баримт, харин хаяг нь ямар нэгэн зүйл хариулсныг л нотолно. Яг алдаа болон нэрийн нийтийн мэдээллийг цэвэрлэсэн тайланд бич, учир нь нэрийн зөрчлийг ямар ч хувийн түлхүүрийн материалгүйгээр харуулж болно.

Дэмжигдсэн засварын дараа бүх зорьсон шалгалтыг асаалттайгаар дахин холбогдож, үнэхээр хэрэгтэй нөөцийг шалга. Амжилт гэдэг нь зорьсон серверийг хүлээн авсан гэсэн үг, ямар нэг сертификатыг хүчээр оруулсан гэсэн үг биш. Албан ёсны гарын авлага OpenVPN 2.6 manual гурван төрөл болон тэдгээрийн итгэлцлийн тэмдэглэлийг баримтжуулдаг бөгөөд нийлүүлэгчийн интерфейс профайлтай зөрчилдөх үед иш татах эх сурвалж нь энэ юм.