Субъектийн өөр нэрс: VPN серверийг хэрхэн таних вэ

Таны клиент гинжин хэлхээ нь цэвэр баталгаажсан сертификатыг татгалзаж, алдаа нь нэр тохирохгүй гэж хэлнэ. Тэр мэдээлэл сертификатыг хэн гарын үсэг зурсан тухай биш. Энэ нь сертификат төлөөлөх эрхтэй таних тэмдгүүдийг агуулсан субъектийн өөр нэрсийн өргөтгөл, мөн таны тохируулсан таних тэмдэг тэнд зөв хэлбэрээр гарч байгаа эсэх тухай юм. Итгэл хэн гарын үсэг зурсныг хариулдаг бол нэрний шалгалт аль хостод хамаарахыг хариулдаг.

Клиент юуг бодитоор харьцуулдаг вэ

Клиент таны тохиргоог лавлагааны таних тэмдэг болгон хувиргадаг: хост нэр, хаяг эсвэл протоколд хамаарах танигч. Дараа нь ашиглаж буй протоколын тохирлын дүрмийг хэрэглэн сертификатаас тэр таних тэмдгийг хайдаг. Зөвхөн ижил төрлийн бичлэгүүд тооцогдох тул DNS бичлэг хаягийг хангаж чадахгүй бөгөөд хэн нэгэн сертификатыг харсан эсэхээс үл хамааран харьцуулалт явагдана.

Тэр өргөтгөлд лавлагааны таних тэмдэг байхгүй бол хуучин нийтлэг нэр тохирсон ч шалгалт бүтэлгүйтнэ. Сертификатыг компанид хууль ёсоор олгож болох боловч нэр нь хэзээ ч ороогүй бол vpn.example.com-д тохирохгүй байж болно. Сертификат жинхэнэ байсан ч бүтэлгүйтэл нь нэрний зөрүү юм.

DNS нэр ба IP хаяг нь тусдаа бичлэгүүд

203.0.113.10 руу чиглэсэн профайл, харин сертификатад зөвхөн vpn.example.com жагсаагдсан бол татгалзана, учир нь пакетууд ирдэг ч таних тэмдэг тохирохгүй. DNS нэр ба шууд хаягууд өөр өөр бичлэгийн төрлөөр хадгалагдаж, нэг нь нөгөөг нь хэзээ ч орлохгүй. Тиймээс үйлчилгээ хаягаар хүрэх боломжтой байсан ч тэр хаягийг ашигладаг профайлаар ашиглах боломжгүй байж болно.

Орлуулагч тэмдэгтүүд ч өөрийн дүрмийг дагадаг: орлуулагч нэг шошгыг хамардаг, домэйн доорх бүх нэрийг биш. DNS харьцуулалт том жижиг үсэг ялгадаггүй бол бусад танигчийн төрлүүд ялгадаг тул дэлгэц дээр ижил харагдах утга чанд харьцуулалтад бүтэлгүйтэж болно. Ашиглаж буй таних тэмдгийн төрлийн тохирлын дүрмийг шалгаарай, мөрүүдийг нүдээр харьцуулахын оронд. Өргөтгөлд нэр нэмэх нь олголтын шийдвэр бөгөөд клиентийн тохиргоонд нийлүүлж болох зүйл биш.

Холболтын бодитоор ашигласан сертификатыг шалгаарай

Админ хуудаснаас хуулсан файлыг биш, ажиллаж буй төгсгөлийн цэгийн танилцуулж буй материалыг уншаарай. Ачааллын тэнцвэржүүлэгч эсвэл орлуулах инстанц хэдэн сарын өмнө байршуулсан сертификатаас өөр зүйл танилцуулж болох бөгөөд тэр ялгаа консол дээр харагдахгүй.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Субъектийн өөр нэрсийн блок, олгогчийн гинж ба хүчинтэй хугацаа нэг уншилтад хамаарна, учир нь нэрний зөрүү ба хугацаа дуусах нь өөр өөр алдаа үүсгэдэг. Тэр блок дахь нэр бүрийг профайлд тохируулсан таних тэмдэгтэй үсэг үсгээр харьцуулж, ямар төрөл болохыг тэмдэглээрэй. Төгсгөлийн цэгийн хаягийн хэлбэрт командыг давтах нь сертификат хоёр таних тэмдгийг хамрах уу эсвэл зөвхөн нэгийг хамрахыг харуулна. Удирдлагын консол дахь ээлтэй субъектийн дэлгэц нь баталгаажуулалтын үр дүн биш бөгөөд өргөтгөл ямар нэрс агуулж байгааг юу ч хэлэхгүй.

Нийтлэг нэр бол орчин үеийн үнэний эх сурвалж биш

Хөтчүүд болон ихэнх TLS сангууд одоо хост нэрийн тохиролд нийтлэг нэрийг үл тоомсорлож, өргөтгөлөөс лавладаг. Зарим VPN клиент эхлээд нийтлэг нэрийг харьцуулсаар байгаа эсвэл өргөтгөл байхгүй үед түүн рүү буцдаг тул нэг сертификат хөтөч дээр тэнцэж, клиент дээр бүтэлгүйтэж болно. Ижил нэрний шалгалт нэг платформ дээр тэнцэж, нөгөө дээр бүтэлгүйтэж болох бөгөөд сертификат огт өөрчлөгдөхгүй.

Сертификат буруу гэж шийдэхээс өмнө клиент тань аль талбарыг уншдагийг олж мэдээрэй. Нэг төгсгөлийн цэг дээрх хоёр клиент санал нийлэхгүй байж болох бөгөөд тэр зөрүү нь сертификатын тухай биш, клиентийн тухай мэдээлэл юм.

Шалгалтыг биш, олголт эсвэл профайлыг засаарай

Профайл псевдонимыг тойруулан барьсан бол түүнийг баримтжуулсан хост нэр рүү чиглүүлэх эсвэл псевдонимын сертификатыг дахин олгож, төлөвлөсөн цонхонд байршуулаарай. Сануулгыг намжаах нь гурав дахь сонголт биш, учир нь шалгалт нь гарын үсэг зурсан сертификатыг энэ тодорхой хосттой холбодог цорын ганц алхам юм. Үүнийг хасах нь ижил байгууллагын аль ч сертификат таны хүрэхийг хүссэн серверийн оронд зогсож болно гэсэн үг.

Шинэчлэл нь зорьсон нэрс болон зорилгыг хадгалах ёстой, зөвхөн дуусах огноог урагшлуулах биш. Нэр алдсан шинэчлэл нь дараагийн дахин эхлүүлэлтэд төлөвлөсөн шинэ тасалдал бөгөөд өөрчлөлт хийх үед хуучин сертификат хүчинтэй байсан тул ихэвчлэн сануулгагүй ирдэг.

Хүлээгдэж буй таних тэмдэг, танилцуулсан нэрс, тэдгээрт гарын үсэг зурсан гинжийг тэмдэглээрэй. Тэр бүртгэл дараагийн шинэчлэлийг мөрдөн шалгалтын оронд харьцуулалт болгоно. Өргөтгөлийн тодорхойлолт RFC 5280 дотор байгаа, тодорхой олголтыг шалгах шаардлагатай бол.