OpenVPN verify-x509-name: subject, name आणि name-prefix

प्रथम जुळणीचा प्रकार वाचा, नंतर मजकूर: एक verify-x509-name सूचना बरोबर दिसू शकते आणि तरीही ज्या प्रमाणपत्रावर तुम्ही विश्वास ठेवण्याचा विचार केला नव्हता ते स्वीकारू शकते। समान अपेक्षित मजकूर पण वेगळ्या प्रकारांच्या दोन ओळी या वेगळ्या आवश्यकता आहेत। प्रथम प्रकार वाचा, नंतर मजकूर। सूचनेकडे कनेक्शनवरील आणखी एक अट म्हणून पहा, संपूर्ण तपासणी म्हणून नाही।

पर्याय प्रत्यक्षात काय सांगतो

सूचना अशी ओळख नामनिर्देश करते जी समोरच्या बाजूच्या प्रमाणपत्रात असावी लागते। तुलना अयशस्वी झाल्यास, OpenVPN हँडशेक थांबवते आणि कोणतीही बोगदा उभी राहत नाही। प्रोफाइलमधील बाकी सर्व अजूनही लागू आहे: प्रमाणपत्र विश्वासार्ह CA पर्यंत साखळीने जोडलेले असावे आणि भूमिका तपासणी उत्तीर्ण व्हावी, म्हणून ही अतिरिक्त अट आहे, पर्याय नाही। नावाची अपेक्षा पूर्ण करूनही भूमिका तपासणीत अपयशी ठरणारे प्रोफाइल अजूनही तुटलेले आहे, आणि लॉग साधारणपणे तसे सांगतो।

हे ब्राउझर करत असलेल्या होस्टनाव पडताळणीपेक्षाही वेगळे आहे। ब्राउझर स्वतःच्या TLS स्टॅकच्या नियमांनुसार नावे subject च्या पर्यायी नावांशी जुळवतो, तर OpenVPN तुम्ही निवडलेल्या प्रकाराने प्रमाणपत्रातील एक क्षेत्र तुलना करते। म्हणून ब्राउझर-शैलीचे होस्टनाव सूचनेत पेस्ट केल्यास प्रमाणपत्र खरोखर सेवा व्यापत असले तरीही विसंगती येऊ शकते।

subject: संपूर्ण विशिष्ट नाव, अक्षरशः

प्रकार लिहिलेला नसल्यास डीफॉल्ट subject आहे, आणि अपेक्षित मूल्याने प्रमाणपत्राचे संपूर्ण subject DN पुनरुत्पादित केले पाहिजे। क्षेत्रांचा क्रम, विभाजके, अंतर आणि escaping सर्व मोजले जातात, कारण तुलना एन्कोड केलेल्या स्ट्रिंगवरच चालते। प्रकार वगळल्यास तुम्ही तीनपैकी सर्वात कठोर तुलना निवडली आहे। दिसण्यातील फरक वाचवणारी कोणतीही सामान्यीकरण पायरी नाही। हे पहिल्या नूतनीकरणापूर्वी जाणून घेण्यासारखे आहे, नंतर नाही।

ती कठोरता नूतनीकरणांदरम्यान नाजूक आहे। जे CA गुणधर्मांची पुनर्रचना करते, अतिरिक्त क्षेत्र घालते किंवा मूल्याची escaping पद्धत बदलते ते त्याच मशीनसाठी नवीन स्ट्रिंग तयार करते, आणि वर्षानुवर्षे चाललेली सूचना पुढील प्रकाशनात अपयशी होऊ लागते। स्वीकारलेले DN बदल-नोंदीत ठेवल्यास पुढील नूतनीकरण फरक होतो। जिथे ऑपरेटर संपूर्ण DN प्रकाशित करतो आणि त्याचा आकार हमी देतो, तिथे subject योग्य निवड आहे; अन्यत्र अरुंद क्षेत्र खरे ठेवणे सोपे आहे।

name: एक क्षेत्र, सामान्यतः सामाईक नाव

प्रकार name subject च्या एका क्षेत्राची तुलना करतो। प्रोफाइल वेगळे सांगत नसेल तर ते क्षेत्र सामाईक नाव आहे, आणि अपेक्षित मूल्य नेमके तेच क्षेत्र आहे, त्याभोवतीचे DN नाही।

अडचण अशी आहे की आधुनिक प्रमाणपत्रे सेवेचे नाव नेहमी CN मध्ये ठेवत नाहीत। अनेक ते subject च्या पर्यायी नावात ठेवतात आणि CN रिकामे किंवा सामान्य ठेवतात, त्यामुळे ब्राउझर स्वीकारणारे प्रमाणपत्रही या तुलनेत अपयशी होऊ शकते। अपेक्षा लिहिण्यापूर्वी तुम्हाला प्रत्यक्ष जारी केलेले प्रमाणपत्र तपासा आणि प्रोफाइल कोणते क्षेत्र निवडते याची खात्री करा। रिकाम्या CN ची नावाशी तुलना विसंगती आहे, कॉन्फिगरेशन अपघात नाही।

name-prefix: रचनेने रुंद, म्हणून व्याप्ती मर्यादित करा

एक name-prefix प्रकारची अपेक्षा निवडलेल्या क्षेत्राच्या सुरुवातीशी जुळते। हे नामकरण योजनेसाठी सोयीचे आणि सामायिक कोणत्याही गोष्टीसाठी धोकादायक आहे।

अपेक्षा vpn.example असल्यास, दोन्ही vpn.example.com आणि vpn.example.net उत्तीर्ण होतील, उर्वरित साखळी विश्वासार्ह असल्यास। रुंदी हे वैशिष्ट्य आहे, आणि तोच भाग लेखी न्याय्य ठरवावा लागतो। CA आणि नामकरण योजना तुमची असल्यास उपसर्ग योग्य आहे, आणि सार्वजनिक CA त्याच नमुन्यात जारी करत असल्यास खूपच कमजोर। योजनेला लवचिकता हवी असल्यास क्लायंट तपासणी रुंदावण्याऐवजी CA वर मर्यादित करा।

ओळखकर्त्यावरून प्रकार निवडा, नंतर सिद्ध करा

ऑपरेटरच्या मनातील ओळखीपासून मागे काम करा। तो संपूर्ण DN प्रकाशित करत असेल आणि स्थिर ठेवत असेल, subject हे व्यक्त करते। सेवेचे नाव सामाईक नावाने घेत असेल, तर वापरा name। नामकरण योजना असल्यास आणि तिची संपूर्ण जागा स्वीकारत असेल, name-prefix हे स्पष्ट सांगते।

नूतनीकरण हेच सूचना तपासली जाणारे ठिकाण आहे। मंजूर ओळखीची तुलना जुन्या फाइलशी नाही तर नव्या प्रमाणपत्राशी करा, कारण नवे एंडपॉइंट पत्ता म्हणजे नवी प्रमाणपत्र ओळख नाही। ओळखीचा पत्ता उत्तर देतो म्हणूनच सूचना हटवू नका: पोहोच आणि इच्छित समोरची बाजू या वेगळ्या गोष्टी आहेत, आणि पत्ता फक्त एवढे सिद्ध करतो की काहीतरी उत्तर दिले। नेमकी त्रुटी आणि नावाचे सार्वजनिक तपशील स्वच्छ अहवालात नोंदवा, कारण नावाची विसंगती कोणत्याही खाजगी किल्ली सामग्रीशिवाय दाखवता येते।

समर्थित दुरुस्तीनंतर, सर्व इच्छित तपासण्या सुरू ठेवून पुन्हा जोडा आणि तुम्हाला खरोखर आवश्यक असलेले संसाधन तपासा। यश म्हणजे इच्छित सर्व्हर स्वीकारला गेला, कोणतेही प्रमाणपत्र जबरदस्तीने पार केले गेले नाही। अधिकृत पुस्तिका OpenVPN 2.6 manual तीन प्रकार आणि त्यांच्या विश्वास-टिपा नोंदवते, आणि विक्रेत्याचा इंटरफेस प्रोफाइलशी सहमत नसल्यास हाच उद्धरणाचा संदर्भ आहे।