विषयाची पर्यायी नावे: VPN सर्व्हर कसा ओळखला जातो

तुमचा क्लायंट असे प्रमाणपत्र नाकारतो ज्याची साखळी स्वच्छपणे सत्यापित होते, आणि त्रुटी सांगते की नाव जुळत नाही। ती संदेश प्रमाणपत्रावर कोणी स्वाक्षरी केली याबद्दल नाही। ती विषयाच्या पर्यायी नावांच्या विस्ताराबद्दल आहे, जो प्रमाणपत्राला दर्शविण्याची परवानगी असलेल्या ओळखी धारण करतो, आणि तुम्ही कॉन्फिगर केलेली ओळख तिथे योग्य स्वरूपात दिसते का याबद्दल। विश्वास कोणी स्वाक्षरी केली याचे उत्तर देतो, तर नाव तपासणी ते कोणत्या होस्टचे आहे याचे उत्तर देते।

क्लायंट प्रत्यक्षात काय तुलना करतो

क्लायंट तुमच्या कॉन्फिगरेशनचे संदर्भ ओळखीत रूपांतर करतो: होस्टनाव, पत्ता, किंवा प्रोटोकॉल-विशिष्ट ओळखकर्ता। नंतर तो प्रमाणपत्रात ती ओळख शोधतो, वापरल्या जात असलेल्या प्रोटोकॉलचे जुळणी नियम लागू करून। फक्त एकाच प्रकारच्या नोंदी मोजल्या जातात, त्यामुळे DNS नोंद पत्ता पूर्ण करू शकत नाही, आणि कोणी प्रमाणपत्राकडे पाहिले किंवा नाही याची पर्वा न करता तुलना होते।

त्या विस्तारात संदर्भ ओळख नसल्यास, जुने सामान्य नाव जुळले तरी तपासणी अयशस्वी होते। प्रमाणपत्र कंपनीला कायदेशीररित्या जारी केले जाऊ शकते आणि तरीही नाव कधीही समाविष्ट न केल्यास vpn.example.com साठी ते चुकीचे ठरू शकते। प्रमाणपत्र अस्सल असले तरी अयशस्वीता नावाची विसंगती आहे।

DNS नावे आणि IP पत्ते वेगळ्या नोंदी आहेत

203.0.113.10 कडे निर्देश करणारे प्रोफाइल, तर प्रमाणपत्र फक्त vpn.example.com सूचीबद्ध करते, ते नाकारले जाते, कारण पॅकेट पोहोचतात पण ओळख जुळत नाही। DNS नावे आणि शाब्दिक पत्ते वेगवेगळ्या नोंद प्रकारांमध्ये साठवले जातात, आणि एक कधीही दुसऱ्याची जागा घेत नाही। म्हणूनच सेवा पत्त्याद्वारे पोहोचण्यायोग्य असू शकते आणि तरीही तो पत्ता वापरणाऱ्या प्रोफाइलद्वारे निरुपयोगी ठरू शकते।

वाइल्डकार्डही स्वतःचे नियम पाळतात: वाइल्डकार्ड एका लेबलला व्यापते, डोमेनखालील प्रत्येक नावाला नाही। DNS तुलना केस-संवेदनशील नाही, तर इतर ओळखकर्ता प्रकार संवेदनशील आहेत, त्यामुळे स्क्रीनवर सारखे दिसणारे मूल्य कठोर तुलनेत अयशस्वी होऊ शकते। वापरल्या जात असलेल्या ओळख प्रकारासाठीचे जुळणी नियम तपासा, डोळ्यांनी स्ट्रिंगची तुलना करण्याऐवजी। विस्तारात नाव जोडणे हा जारी करण्याचा निर्णय आहे, क्लायंट सेटिंग देऊ शकते अशी गोष्ट नाही।

कनेक्शनने प्रत्यक्षात वापरलेले प्रमाणपत्र तपासा

प्रशासन पृष्ठावरून कॉपी केलेली फाइल नाही, तर जिवंत एंडपॉइंट सादर करत असलेली सामग्री वाचा। लोड बॅलन्सर किंवा बदली इन्स्टन्स महिन्यांपूर्वी अपलोड केलेल्या प्रमाणपत्रापेक्षा वेगळे काही सादर करू शकतो, आणि तो फरक कन्सोलमध्ये अदृश्य असतो।

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

विषयाच्या पर्यायी नावांचा ब्लॉक, जारीकर्ता साखळी आणि वैधता कालावधी एकाच वाचनात येतात, कारण नावाची विसंगती आणि कालबाह्यता वेगळ्या त्रुटी निर्माण करतात। त्या ब्लॉकमधील प्रत्येक नाव प्रोफाइलमध्ये कॉन्फिगर केलेल्या ओळखीशी अक्षराप्रत अक्षर तुलना करा आणि ते कोणत्या प्रकारचे आहे ते नोंदवा। एंडपॉइंटच्या पत्ता-स्वरूपाविरुद्ध आदेशाची पुनरावृत्ती केल्यास प्रमाणपत्र दोन्ही ओळखी व्यापते की फक्त एक, हे दिसते। व्यवस्थापन कन्सोलमधील मैत्रीपूर्ण विषय प्रदर्शन हे सत्यापनाचे निकाल नाही आणि विस्तारात कोणती नावे आहेत याबद्दल काहीही सांगत नाही।

सामान्य नाव हा आधुनिक सत्याचा स्रोत नाही

ब्राउझर आणि बहुतेक TLS लायब्रऱ्या आता होस्टनाव जुळणीसाठी सामान्य नावाकडे दुर्लक्ष करतात आणि विस्ताराकडे पाहतात। काही VPN क्लायंट अजूनही आधी सामान्य नावाची तुलना करतात किंवा विस्तार नसल्यास त्याकडे परत जातात, आणि अशा प्रकारे एकच प्रमाणपत्र ब्राउझरमध्ये उत्तीर्ण होऊन क्लायंटमध्ये अयशस्वी होऊ शकते। तीच नाव तपासणी एका प्लॅटफॉर्मवर उत्तीर्ण होऊन दुसऱ्यावर अयशस्वी होऊ शकते, प्रमाणपत्र अजिबात न बदलता।

प्रमाणपत्र चुकीचे आहे असे ठरवण्यापूर्वी तुमचा क्लायंट कोणते क्षेत्र वाचतो ते शोधा। एकाच एंडपॉइंटवरील दोन क्लायंट असहमत होऊ शकतात, आणि ती असहमती प्रमाणपत्राबद्दल नाही, क्लायंटबद्दल माहिती आहे।

तपासणी नाही, जारी करणे किंवा प्रोफाइल दुरुस्त करा

प्रोफाइल उपनावाभोवती बांधले गेले असेल, तर एकतर ते दस्तऐवजीकृत होस्टनावाकडे पुनर्निर्देशित करा किंवा उपनावासाठी प्रमाणपत्र पुन्हा जारी करून नियोजित वेळेत तैनात करा। इशारा शांत करणे हा तिसरा पर्याय नाही, कारण तपासणी ही एकमेव पायरी आहे जी स्वाक्षरी केलेले प्रमाणपत्र या विशिष्ट होस्टशी बांधते। ती काढून टाकणे म्हणजे त्याच प्राधिकरणाचे कोणतेही प्रमाणपत्र तुम्हाला पोहोचायचे होते त्या सर्व्हरच्या जागी उभे राहू शकते।

नूतनीकरणाने इच्छित नावे आणि उद्देश जपले पाहिजेत, फक्त कालबाह्यता तारीख पुढे ढकलण्याऐवजी। नाव सोडणारे नूतनीकरण हे पुढील पुनर्प्रारंभासाठी नियोजित नवीन व्यत्यय आहे, आणि बदल करताना जुने प्रमाणपत्र अजून वैध होते म्हणून ते सहसा इशार्याशिवाय येते।

अपेक्षित ओळख, सादर केलेली नावे आणि त्यांना स्वाक्षरी करणारी साखळी नोंदवा। ती नोंद पुढील नूतनीकरणाला तपासणीऐवजी तुलना बनवते। विस्ताराची व्याख्या RFC 5280 मध्ये आहे, एखादे विशिष्ट जारी करणे तपासायचे असल्यास।