OpenVPN verify-x509-name: subject, name dan name-prefix

Baca jenis padanan dahulu, kemudian teks: verify-x509-name arahan boleh kelihatan betul namun masih menerima sijil yang anda tidak berniat untuk percayai. Dua baris dengan teks jangkaan sama tetapi jenis berbeza ialah dua keperluan berbeza. Baca jenis dahulu, kemudian teks. Anggap arahan ini sebagai satu lagi syarat pada sambungan, bukan keseluruhan pemeriksaan.

Apa yang sebenarnya ditegaskan oleh pilihan ini

Arahan ini menamakan identiti yang mesti dibawa oleh sijil pihak lain. Apabila perbandingan gagal, OpenVPN membatalkan jabat tangan dan tiada terowong naik. Semua yang lain dalam profil masih terpakai: sijil mesti berantai kepada CA yang dipercayai dan pemeriksaan peranan mesti lulus, jadi ini syarat tambahan, bukan pengganti. Profil yang memenuhi jangkaan nama tetapi gagal pemeriksaan peranan masih rosak, dan log biasanya menyatakannya.

Ia juga berbeza daripada pengesahan nama hos yang dilakukan pelayar. Pelayar memadankan nama dengan nama alternatif subject mengikut peraturan tindanan TLSnya, manakala OpenVPN membandingkan satu medan sijil dengan jenis yang anda pilih. Itulah sebabnya menampal nama hos gaya pelayar ke dalam arahan boleh menghasilkan ketidakpadanan walaupun sijil benar-benar meliputi perkhidmatan itu.

subject: nama kehormat penuh, aksara demi aksara

Apabila tiada jenis ditulis, lalai ialah subject, dan nilai jangkaan mesti menghasilkan semula seluruh subject DN sijil. Urutan medan, pemisah, ruang dan escaping semuanya dikira, kerana perbandingan berjalan pada rentetan sebagaimana ia dikodkan. Jika anda meninggalkan jenis, anda telah memilih yang paling ketat antara tiga perbandingan. Tiada langkah normalisasi yang menyelamatkan perbezaan kosmetik. Ia wajar diketahui sebelum pembaharuan pertama, bukan selepasnya.

Keketatan itu rapuh antara pembaharuan. CA yang menyusun semula atribut, memasukkan medan tambahan atau menukar cara ia escaping nilai menghasilkan rentetan baharu untuk mesin yang sama, dan arahan yang berfungsi bertahun-tahun mula gagal pada pengeluaran seterusnya. Menyimpan DN yang diterima dalam rekod perubahan menjadikan pembaharuan seterusnya sebagai perbezaan. Di mana pengendali menerbitkan DN penuh dan menjamin bentuknya, subject ialah pilihan wajar; di tempat lain medan yang lebih sempit lebih mudah dikekalkan benar.

name: satu medan, biasanya nama umum

Jenis name membandingkan satu medan subject. Kecuali profil menyatakan sebaliknya, medan itu ialah nama umum, dan nilai jangkaan ialah tepat medan itu, bukan DN di sekelilingnya.

Perangkapnya ialah sijil moden tidak selalu meletakkan nama perkhidmatan dalam CN. Banyak yang membawanya dalam nama alternatif subject dan membiarkan CN kosong atau umum, jadi sijil yang diterima pelayar masih boleh gagal perbandingan ini. Periksa sijil yang benar-benar dikeluarkan untuk anda sebelum menulis jangkaan, dan sahkan medan mana yang dipilih profil. CN kosong yang dibandingkan dengan nama ialah ketidakpadanan, bukan kemalangan konfigurasi.

name-prefix: luas secara reka bentuk, jadi hadkan skopnya

Jangkaan berjenis name-prefix sepadan dengan permulaan medan yang dipilih. Itu mudah untuk skema penamaan dan berbahaya untuk apa-apa yang dikongsi.

Dengan vpn.example sebagai jangkaan, kedua-dua vpn.example.com dan vpn.example.net akan lulus, asalkan baki rantai dipercayai. Keluasan itulah cirinya, dan ia juga bahagian yang perlu dijustifikasi secara bertulis. Prefiks wajar apabila CA dan skema penamaan milik anda, dan jauh lebih lemah apabila CA awam mengeluarkan dalam corak yang sama. Jika skema memerlukan kelenturan, hadkannya pada CA dan bukan meluaskan pemeriksaan klien.

Pilih jenis daripada pengecam, kemudian buktikannya

Bekerja ke belakang daripada identiti yang dimaksudkan pengendali. Jika dia menerbitkan DN penuh dan mengekalkannya stabil, subject menyatakan perkara itu. Jika dia menamakan perkhidmatan dengan nama umum, gunakan name. Jika dia memiliki skema penamaan dan menerima seluruh ruangnya, name-prefix menyatakannya secara jelas.

Pembaharuan ialah tempat arahan diuji. Bandingkan identiti yang diluluskan dengan sijil baharu dan bukan dengan fail lama, kerana alamat titik akhir baharu tidak bermakna identiti sijil baharu. Jangan padam arahan hanya kerana alamat biasa menjawab: kebolehcapaian dan pihak yang dimaksudkan ialah dua fakta berbeza, dan alamat hanya membuktikan bahawa sesuatu menjawab. Catat ralat tepat dan butiran nama awam dalam laporan yang telah dibersihkan, kerana ketidakpadanan nama boleh ditunjukkan tanpa sebarang bahan kunci peribadi.

Selepas pembetulan yang disokong, sambung semula dengan semua pemeriksaan yang dimaksudkan diaktifkan dan sahkan sumber yang benar-benar anda perlukan. Kejayaan bermakna pelayan yang dimaksudkan diterima, bukan bahawa sesuatu sijil dipaksa melalui. Manual rasmi OpenVPN 2.6 manual mendokumenkan tiga jenis itu dan nota kepercayaannya, dan itulah rujukan yang dipetik apabila antara muka vendor tidak bersetuju dengan profil.