Nama Alternatif Subjek: cara pelayan VPN dikenal pasti

Klien anda menolak sijil yang rantaiannya disahkan dengan bersih, dan ralat menyatakan nama tidak sepadan. Mesej itu bukan tentang siapa yang menandatangani sijil. Ia tentang sambungan nama alternatif subjek, yang membawa identiti yang dibenarkan diwakili oleh sijil, dan tentang sama ada identiti yang anda konfigurasikan muncul di situ dalam bentuk yang betul. Kepercayaan menjawab siapa yang menandatanganinya, manakala pemeriksaan nama menjawab hos mana ia dimiliki.

Apa yang sebenarnya dibandingkan oleh klien

Klien menukar konfigurasi anda menjadi identiti rujukan: nama hos, alamat, atau pengecam khusus protokol. Kemudian ia mencari identiti itu dalam sijil, dengan menggunakan peraturan pemadanan protokol yang digunakan. Hanya entri jenis yang sama dikira, jadi entri DNS tidak boleh memenuhi alamat, dan perbandingan berlaku sama ada seseorang melihat sijil itu atau tidak.

Apabila identiti rujukan tiada dalam sambungan itu, pemeriksaan gagal walaupun nama umum lama sepadan. Sijil boleh dikeluarkan secara sah kepada syarikat dan masih salah untuk vpn.example.com jika nama itu tidak pernah dimasukkan. Kegagalan itu ialah ketidakpadanan nama walaupun sijil itu asli.

Nama DNS dan alamat IP ialah entri berasingan

Profil yang menunjuk ke 203.0.113.10 manakala sijil hanya menyenaraikan vpn.example.com ditolak, kerana paket tiba tetapi identiti tidak sepadan. Nama DNS dan alamat literal disimpan sebagai jenis entri yang berbeza, dan satu tidak pernah menggantikan yang lain. Itulah sebabnya perkhidmatan boleh dicapai melalui alamat dan masih tidak boleh digunakan melalui profil yang menggunakan alamat itu.

Watak liar juga mematuhi peraturannya sendiri: satu watak liar meliputi satu label, bukan setiap nama di bawah domain. Perbandingan DNS tidak sensitif huruf besar-kecil, manakala jenis pengecam lain sensitif, jadi nilai yang kelihatan sama di skrin boleh gagal dalam perbandingan ketat. Periksa peraturan pemadanan untuk jenis identiti yang digunakan daripada membandingkan rentetan dengan mata. Menambah nama pada sambungan ialah keputusan pengeluaran, bukan sesuatu yang boleh disediakan oleh tetapan klien.

Periksa sijil yang benar-benar digunakan oleh sambungan

Baca bahan yang dibentangkan oleh titik akhir langsung, bukan fail yang disalin daripada halaman pentadbiran. Penyeimbang beban atau instans pengganti boleh membentangkan sesuatu yang berbeza daripada sijil yang dimuat naik berbulan-bulan lalu, dan perbezaan itu tidak kelihatan dalam konsol.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Blok nama alternatif subjek, rantaian pengeluar dan tempoh sah laku semuanya tergolong dalam satu bacaan, kerana ketidakpadanan nama dan tamat tempoh menghasilkan ralat yang berbeza. Bandingkan setiap nama dalam blok itu dengan identiti yang dikonfigurasikan dalam profil, aksara demi aksara, dan catat jenisnya. Mengulang arahan terhadap bentuk alamat titik akhir menunjukkan sama ada sijil meliputi kedua-dua identiti atau hanya satu. Paparan subjek yang mesra dalam konsol pengurusan bukan hasil pengesahan dan tidak berkata apa-apa tentang nama yang terkandung dalam sambungan itu.

Nama umum bukan sumber kebenaran moden

Pelayar dan kebanyakan pustaka TLS kini mengabaikan nama umum untuk pemadanan nama hos dan merujuk sambungan itu. Sesetengah klien VPN masih membandingkan nama umum dahulu atau kembali kepadanya apabila sambungan tiada, dan begitulah satu sijil boleh lulus dalam pelayar dan gagal dalam klien. Pemeriksaan nama yang sama boleh lulus pada satu platform dan gagal pada platform lain tanpa sijil berubah langsung.

Ketahui medan mana yang dibaca oleh klien anda sebelum memutuskan sijil itu salah. Dua klien pada titik akhir yang sama boleh berselisih, dan perselisihan itu ialah maklumat tentang klien, bukan tentang sijil.

Betulkan pengeluaran atau profil, bukan pemeriksaan

Apabila profil dibina sekitar alias, sama ada halakan semula ke nama hos yang didokumenkan atau keluarkan semula sijil untuk alias itu dan gunakan dalam tetingkap yang dirancang. Mendiamkan amaran bukan pilihan ketiga, kerana pemeriksaan ialah satu-satunya langkah yang mengikat sijil bertandatangan kepada hos tertentu ini. Membuangnya bermakna mana-mana sijil daripada pihak berkuasa yang sama boleh menggantikan pelayan yang anda mahu capai.

Pembaharuan harus mengekalkan nama dan tujuan yang dimaksudkan dan bukan sekadar memajukan tarikh tamat tempoh. Pembaharuan yang menggugurkan nama ialah gangguan baharu yang dijadualkan pada permulaan semula seterusnya, dan ia biasanya datang tanpa amaran kerana sijil lama masih sah ketika perubahan dibuat.

Catat identiti yang dijangka, nama yang dibentangkan dan rantaian yang menandatanganinya. Catatan itu menjadikan pembaharuan seterusnya sebagai perbandingan dan bukan penyiasatan. Takrif sambungan itu terdapat dalam RFC 5280 jika anda perlu memeriksa pengeluaran tertentu.