SSTP сертификатын зөрүү: таны сервер үзүүлэх ёстой нэр

Клиент профайлын хостын нэрийг сертификаттай харьцуулж, дараа нь гинжин хэлхээ, зорилгыг шалгана. Профайл эсвэл сертификатыг засаарай, шалгалтыг хэзээ ч биш.

SSTP клиент нь TLS шалгалт амжилттай болсны дараа л серверийг хүлээн авдаг бөгөөд энэ шалгалт нэр, хэлхээ, зорилгыг харьцуулдаг. Нэр нь холболтын профайлаас ирдэг, та санамсаргүй пингэж чадах хаягаас биш. Гурвын нэг нь таарахгүй бол клиент сертификатын асуудал мэдээлж, нэвтрэх сануулгад хэзээ ч хүрэхгүй.

Профайлын нэр юу шалгахыг тодорхойлно

SSTP нь TCP 443 дээгүүр TLS ажиллуулдаг тул клиент бусад TLS клиентийн адил ажиллана: профайлаас хостын нэрийг авч, тэр нэрийг хүсэж, сертификатыг түүнтэй харьцуулна. Профайлд IP хаяг бичвэл харьцуулалт IP хаягийн харьцуулалт болох бөгөөд ихэнх серверийн сертификат түүнийг хангахгүй.

Тиймээс хөтчийн туршилт амжилттай болохын зэрэгцээ VPN бүтэлгүйтэж болно, учир нь хөтөч профайлаас өөр нэр ашигласан. DNS-ийн split-horizon тохиргоо VPN-ийн хостын нэрийг дотоод хаяг руу шийдэж, хөтөч нийтийн хаягт хүрсэн үед мөн адил хуваагдал илэрнэ. Эхлээд профайлыг баримтжуулсан хостын нэртэй тааруулж, дараа нь сертификатуудыг харьцуулаарай. Үүнээс өмнө өөрчилсөн бүхэн таамаг юм.

Серверийн сертификатад юу байх ёстой

Орчин үеийн клиентүүд субъектийн өөр нэрсийн өргөтгөлтэй харьцуулдаг тул хостын нэр тэнд DNS бичлэг хэлбэрээр байх ёстой. Зөвхөн ерөнхий нэр нь өнөөгийн шалгалтын стекүүдэд хангалтгүй бөгөөд орлуулагч тэмдэгт нь нэг шошгыг хамардаг, таны зохиосон дурын дэд домэйныг биш. Гурван сертификат хил хязгаарыг харуулна: зөв нэр буруу зорилготой нь таних тэмдгийг баталгаажуулаад дараа нь зорилгын шалгалтад унана, зөв нэр, зорилготой боловч дутуу завсрын сертификаттай нь хэлхээнд унана, зөвхөн ерөнхий нэрэнд байгаа нэр нь тэдгээрийн аль нэг нь чухал болохоос өмнө унана.

Сертификатад серверийн баталгаажуулалтын зорилго ч хэрэгтэй: Microsoft-ын SSTP тодорхойлолтод дурдсан өргөтгөсөн түлхүүр ашиглалтын утга, өөрөөр хэлбэл 1.3.6.1.5.5.7.3.1 объектын танигчтай serverAuth. Түлхүүр ашиглалт болон хүчинтэй хэлхээ нь багцыг бүрэн болгоно. Сервер дээр байгаа, зөв нэрэнд олгогдсон боловч зөвхөн клиентийн баталгаажуулалтад зориулсан сертификат ч унана.

Нэвтрэх мэдээллийн өмнө хэлхээ, цагийг шалгана уу

Цаг, итгэлийн доголдол нэр зөрүүтэй ижил харагдах үр дүн өгдөг бөгөөд хоёуланг нь нууц үгийн асуудлаас хямд оношлох боломжтой. Серверийн цаг, клиентийн цагийг шалгаад, хэлхээг клиент хардаг шигээр уншина уу:

# from the client, or any host that runs openssl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -ext subjectAltName
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -verify_return_error </dev/null
# on the Windows server that holds the SSTP listener
w32tm /query /status

Эхний команд нэр, хүчинтэй байх хугацаа, клиентийн харьцуулах өөр нэрсийг хэвлэнэ. Хоёр дахь нь танилцуулсан хэлхээний хамт баталгаажуулалтын алдааг мэдээлдэг бөгөөд дутуу завсрын сертификат яг тэнд илэрнэ. Windows дээр цагийн үйлчилгээний асуулт цагийг засаж байгаа эсэх, эсвэл зүгээр л гулссан эсэхийг хэлнэ.

Дотоод CA нэг нөхцөл нэмнэ: клиент тэр CA-д итгэх ёстой. Байгууллагын язгуурыг түүний зөвшөөрөгдсөн түгээлтийн сувгаар суулгаарай, орлуулах сертификат санал болгодог хуудаснаас биш, учир нь тэр шийдвэр бол бүх итгэлийн загварын жижиг хувилбар.

Серверийн баталгаажуулалт болон хэрэглэгчийн баталгаажуулалт нь өөр өөр доголдол бүхий дараалсан үе шатууд юм. Сертификатын алдаа нь клиент серверт хэзээ ч итгээгүй гэсэн үг, харин татгалзсан нууц үг нь серверт итгэсэн боловч мэдээлэл буруу байсан гэсэн үг. Нууц үгийн сануулгад хүрэхийн тулд сертификатын шалгалтыг унтраах нь баталгааг засахын оронд устгадаг. Үлдсэн зам ажиллаж байгааг батлахын тулд хэлхээнд аль хэдийн итгэдэг клиентээс ижил хостын нэр, портыг туршиж, байршуулсан профайлыг хөндөхгүй орхино уу.

Нэр эсвэл сертификатыг засаж, дахин туршина уу

Засварыг гурван нөхцөл шийднэ. Профайлын нэр буруу бол профайлыг засах эсвэл дутуу нэрийг сертификатад нэмээрэй. Хэлхээ дутуу бол завсрын сертификатыг сервер дээр суулгаарай. Зорилго буруу бол эргэн тойронд нөхөөс тавихын оронд дахин олгоорой.

Өөрчлөлтийн дараа дэмжигдсэн клиентээр дахин холбогдож, нэвтрэх сануулга гарч байгаа, дараа нь туннель босч байгааг баталгаажуулаарай. Тасалбарт ашигласан хостын нэр, олгогч, хүчинтэй хугацаа дуусах огноог тэмдэглээрэй. Тэр бичлэг л дараагийн шинэчлэлийг өөр нэг тасалдал биш, төлөвлөсөн ажил болгож, гурван нөхцлийн алин нь үнэхээр зөрчигдсөнийг дараагийн хүнд харуулна.

Холбоотой нийтлэлүүд