SSTP प्रमाणपत्र जुळत नाही: तुमच्या सर्व्हरने दाखवायचे नाव

SSTP क्लायंट TLS पडताळणी यशस्वी झाल्यावरच सर्व्हर स्वीकारतो, आणि ती तपासणी नाव, साखळी व उद्देश यांची तुलना करते। नाव कनेक्शन प्रोफाइलमधून येते, तुम्हाला योगायोगाने पिंग करता येणाऱ्या पत्त्यातून नाही। तीनपैकी एकही जुळला नाही तर क्लायंट प्रमाणपत्राची समस्या कळवतो आणि लॉगिन सूचनेपर्यंत कधीही पोहोचत नाही।

प्रोफाइलमधील नाव ठरवते की काय तपासले जाईल

SSTP TCP 443 वर TLS चालवते, म्हणून क्लायंट इतर कोणत्याही TLS क्लायंटसारखा वागतो: प्रोफाइलमधून होस्टनाव घेतो, ते नाव मागतो आणि त्याशी प्रमाणपत्राची तुलना करतो। प्रोफाइलमध्ये IP पत्ता लिहिला तर तुलना IP पत्त्यांची तुलना होते, जी बहुतेक सर्व्हर प्रमाणपत्रे पूर्ण करत नाहीत।

म्हणून ब्राउझरची चाचणी यशस्वी होऊ शकते पण VPN अयशस्वी होते, कारण ब्राउझरने प्रोफाइलपेक्षा वेगळे नाव वापरले। split-horizon DNS VPN होस्टनाव अंतर्गत पत्त्यावर सोडवते आणि ब्राउझर सार्वजनिक पत्त्यावर पोहोचले असेल तेव्हाही तेच विभाजन दिसते। आधी प्रोफाइल दस्तऐवजीकृत होस्टनावाशी जुळवा, नंतर प्रमाणपत्रांची तुलना करा। त्यापूर्वी तुम्ही बदलता ते इतर काहीही अंदाज आहे।

सर्व्हर प्रमाणपत्रात काय असावे

आधुनिक क्लायंट विषयाच्या पर्यायी नावांच्या विस्ताराशी जुळवतात, म्हणून होस्टनाव तेथे DNS नोंद म्हणून असावे। फक्त सामान्य नाव आजच्या पडताळणी स्टॅकसाठी पुरेसे नाही, आणि वाइल्डकार्ड एक लेबल व्यापते, तुम्ही कल्पिलेले कोणतेही उपडोमेन नाही। तीन प्रमाणपत्रे सीमा दाखवतात: योग्य नाव चुकीच्या उद्देशासह ओळख पडताळते आणि नंतर उद्देश तपासणीत अयशस्वी होते, योग्य नाव व उद्देश असूनही गहाळ मधली प्रमाणपत्रे साखळीत अयशस्वी होतात, आणि जे नाव फक्त सामान्य नावात आहे ते त्या दोन्हीपैकी काही महत्त्वाचे होण्यापूर्वीच अयशस्वी होते।

प्रमाणपत्राला सर्व्हर प्रमाणीकरणाचा उद्देशही आवश्यक आहे: मायक्रोसॉफ्टच्या SSTP विनिर्देशात नमूद केलेले विस्तारित की वापराचे मूल्य, म्हणजे ऑब्जेक्ट ओळखकर्ता 1.3.6.1.5.5.7.3.1 असलेले serverAuth। की वापर आणि वैध साखळी संच पूर्ण करतात। सर्व्हरवर असलेले, योग्य नावासाठी जारी केलेले पण फक्त क्लायंट प्रमाणीकरणासाठीचे प्रमाणपत्रही अयशस्वी होते।

लॉगिन तपशीलांपूर्वी साखळी व घड्याळ तपासा

वेळ आणि विश्वासाचे अपयश नाव न जुळल्यासारखाच दृश्य परिणाम देतात, आणि दोन्हीही पासवर्ड समस्येपेक्षा स्वस्तात निदान करता येतात। सर्व्हरचे घड्याळ आणि क्लायंटचे घड्याळ तपासा, नंतर क्लायंट जसे पाहतो तशी साखळी वाचा:

# from the client, or any host that runs openssl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -ext subjectAltName
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -verify_return_error </dev/null
# on the Windows server that holds the SSTP listener
w32tm /query /status

पहिला आदेश नाव, वैधता कालावधी आणि क्लायंट तुलना करणारी पर्यायी नावे छापतो। दुसरा सादर केलेल्या साखळीसह पडताळणी त्रुटी कळवतो, आणि तिथेच गहाळ मधले प्रमाणपत्र दिसते। Windows वर वेळ सेवेची चौकशी सांगते की घड्याळ दुरुस्त होत आहे की फक्त घसरले आहे।

अंतर्गत CA आणखी एक अट जोडते: क्लायंटने त्या CA वर विश्वास ठेवावा। संस्थात्मक रूट त्याच्या मंजूर वितरण मार्गाने स्थापित करा, बदली प्रमाणपत्र देणाऱ्या पानावरून नाही, कारण तो निर्णयच संपूर्ण विश्वास मॉडेलचे लहान रूप आहे।

सर्व्हर पडताळणी आणि वापरकर्ता प्रमाणीकरण वेगवेगळ्या अपयशांसह क्रमिक टप्पे आहेत। प्रमाणपत्र त्रुटी म्हणजे क्लायंटने सर्व्हरवर कधीही विश्वास ठेवला नाही, तर नाकारलेला पासवर्ड म्हणजे त्याने सर्व्हरवर विश्वास ठेवला आणि तपशील चुकीचे होते। पासवर्ड सूचनेपर्यंत पोहोचण्यासाठी प्रमाणपत्र पडताळणी बंद करणे हे दुरुस्तीऐवजी हमी काढून टाकते। उर्वरित मार्ग काम करतो हे सिद्ध करण्यासाठी, साखळीवर आधीच विश्वास ठेवणाऱ्या क्लायंटकडून तेच होस्टनाव व पोर्ट तपासा, आणि तैनात प्रोफाइलला हात लावू नका।

नाव किंवा प्रमाणपत्र दुरुस्त करा आणि पुन्हा चाचणी करा

दुरुस्ती तीन अटींवर ठरते। प्रोफाइलचे नाव चुकीचे असेल तर प्रोफाइल दुरुस्त करा किंवा गहाळ नाव प्रमाणपत्रात जोडा। साखळी अपूर्ण असेल तर सर्व्हरवर मधले प्रमाणपत्र स्थापित करा। उद्देश चुकीचा असेल तर आजूबाजूला पॅच करण्याऐवजी पुन्हा जारी करा।

बदलानंतर समर्थित क्लायंटने पुन्हा जोडा आणि लॉगिन सूचना दिसते, नंतर टनेल वर येते याची खात्री करा। तिकिटात वापरलेले होस्टनाव, जारीकर्ता आणि मुदतपूर्तीची तारीख नोंदवा। ती नोंदच पुढील नूतनीकरणाला दुसऱ्या व्यत्ययाऐवजी नियोजित काम बनवते, आणि पुढच्या व्यक्तीला तीन अटींपैकी कोणती खरोखर मोडली होती हे दाखवते।