OpenVPN verify-x509-name: subject, name u name-prefix

Aqra l-ewwel it-tip ta' qbil, u mbagħad it-test: verify-x509-name direttiva tista' tidher korretta u xorta taċċetta ċertifikat li ma kellekx ħsieb tafdah. Żewġ linji bl-istess test mistenni iżda tipi differenti huma żewġ rekwiżiti differenti. Aqra l-ewwel it-tip, imbagħad it-test. Ittratta d-direttiva bħala kundizzjoni oħra fuq il-konnessjoni, mhux bħala l-verifika kollha.

X'jafferma verament il-għażla

Id-direttiva ssemmi identità li ċ-ċertifikat tal-parti l-oħra jrid iġorr. Meta l-paragun ifalli, OpenVPN iwaqqaf il-handshake u ma titla' l-ebda mina. Kull ħaġa oħra fil-profil għadha tapplika: iċ-ċertifikat irid ikun marbut ma' CA fdati u l-kontroll tar-rwol irid jgħaddi, għalhekk din hija kundizzjoni żejda, mhux sostitut. Profil li jissodisfa l-aspettattiva tal-isem u jonqos fil-kontroll tar-rwol xorta jibqa' miksur, u l-log normalment jgħid hekk.

Hija differenti wkoll mill-validazzjoni tal-isem tal-host li jagħmel browser. Il-browser iqabbel l-ismijiet man-nomi alternattivi tas-subject skont ir-regoli tal-TLS stack tiegħu, filwaqt li OpenVPN iqabbel qasam wieħed taċ-ċertifikat mat-tip li għażilt. Għalhekk li tippejst isem tal-host stil browser fid-direttiva jista' jipproduċi diskrepanza anki meta ċ-ċertifikat verament ikopri s-servizz.

subject: l-isem distint sħiħ, karattru b'karattru

Meta ma jinkitibx tip, il-valur awtomatiku huwa subject, u l-valur mistenni jrid jirriproduċi s-subject DN sħiħ taċ-ċertifikat. L-ordni tal-qasmiet, is-separaturi, l-ispazji u l-escaping kollha jgħoddu, għax il-paragun isir fuq is-sekwenza kif inhi kkodifikata. Jekk tħalli barra t-tip, tkun għażilt l-aktar waħda stretta mit-tliet paraguni. M'hemmx pass ta' normalizzazzjoni li jsalva differenza kosmetika. Dan tajjeb li tkun taf qabel l-ewwel tiġdid, mhux warajh.

Dik l-istrettezza hija fraġli bejn tiġdid u ieħor. CA li terġa' tordna l-attributi, iddaħħal qasam żejjed jew tibdel kif tagħmel escaping ta' valur tipproduċi sekwenza ġdida għall-istess magna, u direttiva li ħadmet snin tibda tfalli fil-ħruġ li jmiss. Li żżomm id-DN aċċettat fir-rekord tal-bidliet iddawwar it-tiġdid li jmiss fi differenza. Fejn l-operatur jippubblika DN sħiħ u jiggarantixxi l-forma tiegħu, subject hija għażla raġonevoli; band'oħra qasam idjaq huwa eħfef li tinżammu veru.

name: qasam wieħed, normalment l-isem komuni

It-tip name iqabbel qasam wieħed tas-subject. Sakemm il-profil ma jgħidx mod ieħor, dak il-qasam huwa l-isem komuni, u l-valur mistenni huwa eżattament dak il-qasam, mhux id-DN madwaru.

Il-qabda hija li ċ-ċertifikati moderni mhux dejjem ipoġġu l-isem tas-servizz fis-CN. Ħafna jġorruh f'isem alternattiv tas-subject u jħallu s-CN vojt jew ġeneriku, għalhekk ċertifikat li browser jaċċetta xorta jista' jfalli dan il-paragun. Spezzjona ċ-ċertifikat li verament inħareġ lilek qabel ma tikteb l-aspettattiva, u kkonferma liema qasam jagħżel il-profil. CN vojt imqabbel ma' isem hija diskrepanza, mhux inċident ta' konfigurazzjoni.

name-prefix: wiesa' b'disinn, għalhekk illimita l-ambitu

Aspettattiva ta' tip name-prefix taqbel mal-bidu tal-qasam magħżul. Dan huwa konvenjenti għal skema ta' tismija u perikoluż għal kull ħaġa maqsuma.

B' vpn.example bħala aspettattiva, kemm vpn.example.com kif ukoll vpn.example.net jgħaddu, sakemm il-bqija tal-katina tkun fdati. Il-wisa' hija l-karatteristika, u wkoll il-parti li trid tiġġustifikat bil-miktub. Prefiss huwa raġonevoli meta l-CA u l-iskema tat-tismija huma tiegħek, u ferm aktar dgħajjef meta CA pubblika toħroġ fl-istess mudell. Jekk l-iskema teħtieġ flessibilità, illimitaha fil-CA minflok ma twessa' l-verifika tal-klijent.

Agħżel it-tip mill-identifikatur, imbagħad ippruvah

Aħdem lura mill-identità li beħsieb l-operatur juża. Jekk jippubblika DN sħiħ u jżommu stabbli, subject jesprimi dan. Jekk isemmi s-servizz bl-isem komuni, uża name. Jekk għandu skema ta' tismija u jaċċetta l-ispazju kollu tagħha, name-prefix jgħid dan b'mod espliċitu.

It-tiġdid huwa fejn id-direttiva tiġi ttestjata. Qabbel l-identità approvata maċ-ċertifikat il-ġdid u mhux mal-ftit il-qadim, għax indirizz ġdid tal-punt tat-tmiem ma jfissirx identità ġdida taċ-ċertifikat. Tħassarx id-direttiva biss għax indirizz magħruf iwieġeb: l-aċċessibilità u l-parti l-oħra maħsuba huma fatti differenti, u l-indirizz jipprova biss li xi ħaġa wieġbet. Irreġistra l-iżball preċiż u d-dettalji pubbliċi tal-isem f'rapport imnaddaf, għax diskrepanza fl-isem tista' tintwera mingħajr ebda materjal ta' ċavetta privata.

Wara korrezzjoni appoġġata, erġa' qabbad bil-verifiki kollha maħsuba attivi u ivverifika r-riżors li verament għandek bżonn. Is-suċċess ifisser li s-server maħsub ġie aċċettat, mhux li xi ċertifikat tħaffeġ minn ġewwa. Il-manwal uffiċjali OpenVPN 2.6 manual jiddokumenta t-tliet tipi u n-noti ta' fiduċja tagħhom, u huwa r-referenza li tiġi kkwotata meta interface tal-fornitur ma taqbilx mal-profil.