Ċertifikat SSTP li ma jaqbilx: l-isem li s-server tiegħek għandu jippreżenta

Il-klijent iqabbel l-isem tal-host tal-profil maċ-ċertifikat, imbagħad jiċċekkja l-katina u l-iskop. Sejjeħ il-profil jew iċ-ċertifikat, qatt il-validazzjoni.

SSTP klijent SSTP jilqa' s-server biss wara li l-validazzjoni TLS tirnexxi, u dik il-verifika tqabbel isem, katina u skop. L-isem ġej mill-profil tal-konnessjoni, mhux mill-indirizz li jista' jkun tista' tpingja b'kumbinazzjoni. Meta wieħed mit-tlieta ma jaqbilx, il-klijent jirrapporta problema taċ-ċertifikat u qatt ma jasal għall-mistoqsija tad-dħul.

L-isem fil-profil jiddeċiedi x'jiġi ċċekkjat

SSTP iħaddem TLS fuq TCP 443, għalhekk il-klijent iġib ruħu bħal kull klijent TLS ieħor: jieħu l-isem tal-host mill-profil, jitlob dak l-isem u jqabbel iċ-ċertifikat miegħu. Jekk tinkiteb indirizz IP fil-profil, it-tqabbil isir tqabbil ta' indirizzi IP, li ħafna ċertifikati tas-server ma jissodisfawx.

Għalhekk test fil-browser jista' jirnexxi filwaqt li l-VPN ifalli, għax il-browser uża isem differenti minn dak tal-profil. L-istess qsim jidher meta DNS split-horizon issolvi l-isem tal-host tal-VPN għal indirizz intern filwaqt li l-browser wasal għal wieħed pubbliku. L-ewwel allinja l-profil mal-isem tal-host iddokumentat, imbagħad qabbel iċ-ċertifikati. Kull ħaġa oħra li tibdel qabel dan hija stima.

X'għandu jġorr iċ-ċertifikat tas-server

Il-klijenti moderni jqabblu mal-estensjoni tal-ismijiet alternattivi tas-suġġett, għalhekk l-isem tal-host irid jidher hemm bħala entrata DNS. Isem komuni waħdu mhuwiex biżżejjed għall-munzelli tal-validazzjoni tal-lum, u l-karta selvaġġa tkopri tikketta waħda, mhux kwalunkwe sottodominju li tinventa. Tliet ċertifikati juru l-konfini: l-isem tajjeb bl-iskop ħażin jivvalida l-identità u mbagħad ifalli l-verifika tal-iskop, l-isem u l-iskop tajbin b'intermedjarju nieqes ifallu l-katina, u isem li jidher biss fl-isem komuni ifalli qabel ma wieħed minn dawk it-tnejn ikun jimporta.

Iċ-ċertifikat għandu bżonn ukoll l-iskop tal-awtentikazzjoni tas-server, il-valur tal-użu estiż taċ-ċavetta msemmi fi l-ispeċifikazzjoni SSTP ta' Microsoft, jiġifieri serverAuth bl-identifikatur tal-oġġett 1.3.6.1.5.5.7.3.1. L-użu taċ-ċavetta u katina valida jtemmu s-sett. Ċertifikat li jeżisti fuq is-server, maħruġ għall-isem tajjeb iżda biss għall-awtentikazzjoni tal-klijent, xorta jfalli.

Iċċekkja l-katina u l-arloġġ qabel il-kredenzjali

Nuqqasijiet ta' ħin u fiduċja jipproduċu l-istess riżultat viżibbli bħal nuqqas ta' qbil fl-isem, u t-tnejn huma irħas biex jiġu dijanjostikati minn problema tal-password. Iċċekkja l-arloġġ tas-server u l-arloġġ tal-klijent, imbagħad aqra l-katina kif jaraha l-klijent:

# from the client, or any host that runs openssl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -ext subjectAltName
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -verify_return_error </dev/null
# on the Windows server that holds the SSTP listener
w32tm /query /status

L-ewwel kmand jistampa l-isem, it-tieqa tal-validità u l-ismijiet alternattivi li l-klijent se jqabbel magħhom. It-tieni jirrapporta żbalji ta' verifika mal-katina kif ippreżentata, u hemmhekk jidher intermedjarju nieqes. Fuq Windows, il-mistoqsija tas-servizz tal-ħin tgħidlek jekk l-arloġġ hijiex qed tiġi kkoreġuta jew sempliċement ħarġet.

CA interna żżid kundizzjoni oħra: il-klijent irid jafda dik is-CA. Installa l-għerq organizzattiv permezz tal-kanal tad-distribuzzjoni approvat tiegħu, mhux minn paġna li toffri ċertifikat ta' sostituzzjoni, għax dik id-deċiżjoni hija l-mudell kollu tal-fiduċja fil-mini.

Il-validazzjoni tas-server u l-awtentikazzjoni tal-utent huma stadji sekwenzjali b'nuqqasijiet differenti. Żball taċ-ċertifikat ifisser li l-klijent qatt ma afda s-server, filwaqt li password miċħuda tfisser li afdah u l-kredenzjali kienu ħżiena. It-tifi tal-validazzjoni taċ-ċertifikat biex tasal għall-mistoqsija tal-password ineħħi l-garanzija minflok ma jsewwiha. Biex tipprova li l-bqija tal-passaġġ taħdem, ittestja l-istess isem tal-host u port minn klijent li diġà jafda l-katina, u ħalli l-profil skjerat kif inhu.

Sejjeħ l-isem jew iċ-ċertifikat, imbagħad erġa' ttestja

Tliet kundizzjonijiet jiddeċiedu t-tiswija. Jekk l-isem tal-profil huwa ħażin, sejjeħ il-profil jew żid l-isem nieqes maċ-ċertifikat. Jekk il-katina mhix kompleta, installa l-intermedjarju fuq is-server. Jekk l-iskop huwa ħażin, erġa' oħroġ minflok ma ttaċċa madwaru.

Wara l-bidla, erġa' qabbad mal-klijent appoġġjat u kkonferma li tidher il-mistoqsija tad-dħul, imbagħad li t-tunnel jogħla. Innota fit-ticket l-isem tal-host użat, il-ħarreġ u d-data tal-iskadenza. Dak ir-rekord huwa dak li jagħmel il-ġdid li jmiss xogħol skedat minflok waqfa oħra, u juri wkoll lill-persuna li jmiss liema mit-tliet kundizzjonijiet kienet tassew miksura.

Artikli relatati