OpenVPN verify-x509-name: subject, name र name-prefix

पहिले मिलानको प्रकार पढ्नुहोस्, त्यसपछि पाठ: एउटा verify-x509-name निर्देशन सही देखिन सक्छ र त्यसै पनि तपाईंले विश्वास गर्न नसोचेको प्रमाणपत्र स्वीकार गर्न सक्छ। एउटै अपेक्षित पाठ तर फरक प्रकारका दुई लाइन फरक आवश्यकता हुन्। पहिले प्रकार पढ्नुहोस्, त्यसपछि पाठ। निर्देशनलाई जडानमा थप एक सर्तका रूपमा लिनुहोस्, पूरै जाँचका रूपमा होइन।

विकल्पले वास्तवमा के दाबी गर्छ

निर्देशनले त्यो पहिचान नाम दिन्छ जो अर्को पक्षको प्रमाणपत्रमा हुनुपर्छ। तुलना असफल हुँदा, OpenVPN ह्यान्डसेक रोक्छ र कुनै सुरुङ उठ्दैन। प्रोफाइलमा बाँकी सबै अझै लागू हुन्छ: प्रमाणपत्र विश्वसनीय CA सम्म श्रृंखलाबद्ध हुनुपर्छ र भूमिका जाँच पास हुनुपर्छ, त्यसैले यो थप सर्त हो, विकल्प होइन। नामको अपेक्षा पूरा गरे पनि भूमिका जाँचमा असफल हुने प्रोफाइल अझै बिग्रिएको छ, र लगले सामान्यतया त्यही भन्छ।

यो ब्राउजरले गर्ने होस्टनाम प्रमाणीकरणभन्दा पनि फरक छ। ब्राउजरले आफ्नो TLS स्ट्याकका नियमअनुसार नामहरूलाई subject का वैकल्पिक नामसँग मिलाउँछ, जबकि OpenVPN ले तपाईंले छानेको प्रकारसँग प्रमाणपत्रको एउटा फिल्ड तुलना गर्छ। त्यसैले ब्राउजर शैलीको होस्टनाम निर्देशनमा टाँस्दा प्रमाणपत्रले सेवा साँच्चै ढाकेको भए पनि बेमेल हुन सक्छ।

subject: पूरै विशिष्ट नाम, अक्षरै अक्षर

प्रकार लेखिएको नभए पूर्वनिर्धारित subject हो, र अपेक्षित मानले प्रमाणपत्रको पूरै subject DN पुनःउत्पादन गर्नुपर्छ। फिल्डको क्रम, विभाजक, खाली ठाउँ र escaping सबै गनिन्छ, किनकि तुलना इन्कोड गरिएको स्ट्रिङमै चल्छ। प्रकार छोड्नुभयो भने तपाईंले तीनमध्ये सबैभन्दा कडा तुलना छान्नुभयो। देखावटी फरक जोगाउने कुनै सामान्यीकरण चरण छैन। यो पहिलो नवीकरणअघि जान्न लायक छ, पछि होइन।

त्यो कडाइ नवीकरणहरूबीच नाजुक छ। जुन CA ले विशेषताहरू पुनःक्रमबद्ध गर्छ, थप फिल्ड घुसाउँछ वा मानको escaping तरिका बदल्छ, त्यसले एउटै मेसिनका लागि नयाँ स्ट्रिङ बनाउँछ, र वर्षौं चलेको निर्देशन अर्को निष्कासनमा असफल हुन थाल्छ। स्वीकृत DN परिवर्तन-अभिलेखमा राख्दा अर्को नवीकरण फरकमा परिणत हुन्छ। जहाँ अपरेटरले पूरै DN प्रकाशित गर्छ र यसको आकारको ग्यारेन्टी दिन्छ, त्यहाँ subject उचित छनोट हो; अन्यत्र साँघुरो फिल्ड सत्य राख्न सजिलो हुन्छ।

name: एउटा फिल्ड, सामान्यतया साझा नाम

प्रकारले name subject को एउटा फिल्ड तुलना गर्छ। प्रोफाइलले अरू केही नभने त्यो फिल्ड साझा नाम हो, र अपेक्षित मान ठ्याक्कै त्यही फिल्ड हो, वरिपरिको DN होइन।

पेच यो हो कि आधुनिक प्रमाणपत्रहरूले सेवाको नाम सधैं CN मा राख्दैनन्। धेरैले यसलाई subject को वैकल्पिक नाममा राख्छन् र CN खाली वा सामान्य छोड्छन्, त्यसैले ब्राउजरले स्वीकार गर्ने प्रमाणपत्र पनि यो तुलनामा असफल हुन सक्छ। अपेक्षा लेख्नुअघि तपाईंलाई साँच्चै जारी गरिएको प्रमाणपत्र जाँच्नुहोस् र प्रोफाइलले कुन फिल्ड छान्छ भनी पुष्टि गर्नुहोस्। खाली CN को नामसँग तुलना बेमेल हो, कन्फिगरेसन दुर्घटना होइन।

name-prefix: डिजाइनले फराकिलो, त्यसैले दायरा सीमित गर्नुहोस्

एउटा name-prefix प्रकारको अपेक्षा छानिएको फिल्डको सुरुसँग मिल्छ। यो नामकरण योजनाका लागि सुविधाजनक र साझा गरिएको जुनसुकै कुराका लागि खतरनाक छ।

अपेक्षा vpn.example भएमा, दुवै vpn.example.com र vpn.example.net पास हुन्छन्, बाँकी श्रृंखला विश्वसनीय भएमा। फराकिलोपन नै विशेषता हो, र यही लिखित रूपमा न्यायोचित ठहराउनुपर्ने भाग हो। CA र नामकरण योजना तपाईंको भए उपसर्ग उचित छ, र सार्वजनिक CA ले त्यही ढाँचामा जारी गर्दा धेरै कमजोर। योजनालाई लचिलोपन चाहिन्छ भने क्लाइन्ट जाँच फराकिलो बनाउनुको सट्टा CA मा सीमित गर्नुहोस्।

पहिचानकर्ताबाट प्रकार छान्नुहोस्, त्यसपछि प्रमाणित गर्नुहोस्

अपरेटरले चिताएको पहिचानबाट पछाडि काम गर्नुहोस्। उसले पूरै DN प्रकाशित गरे स्थिर राख्छ भने, subject यही व्यक्त गर्छ। सेवालाई साझा नामले भन्छ भने प्रयोग गर्नुहोस् name। नामकरण योजना हुने र त्यसको पूरै स्थान स्वीकार गर्ने भए, name-prefix यो स्पष्ट भन्छ।

नवीकरण नै निर्देशन परीक्षण हुने ठाउँ हो। स्वीकृत पहिचानलाई पुरानो फाइलसँग होइन, नयाँ प्रमाणपत्रसँग तुलना गर्नुहोस्, किनकि नयाँ अन्त्य-बिन्दु ठेगानाले नयाँ प्रमाणपत्र पहिचान बुझाउँदैन। चिनजानको ठेगानाले जवाफ दिन्छ भनेर मात्र निर्देशन नहटाउनुहोस्: पहुँच र इच्छित अर्को पक्ष दुई फरक तथ्य हुन्, र ठेगानाले केही कुराले जवाफ दिएको मात्र प्रमाणित गर्छ। सही त्रुटि र नामका सार्वजनिक विवरण सफा प्रतिवेदनमा लेख्नुहोस्, किनकि नामको बेमेल कुनै पनि निजी कुञ्जी सामग्रीबिना देखाउन सकिन्छ।

समर्थित सुधारपछि, सबै इच्छित जाँच सक्रिय राखेर पुनः जोडिनुहोस् र साँच्चै आवश्यक पर्ने स्रोत जाँच्नुहोस्। सफलता भनेको इच्छित सर्भर स्वीकारियो, कुनै प्रमाणपत्र जबरजस्ती पार गरिएन। आधिकारिक म्यानुअल OpenVPN 2.6 manual तीन प्रकार र तिनका विश्वास-टिप्पणी अभिलेख गर्छ, र विक्रेताको इन्टरफेस प्रोफाइलसँग असहमत हुँदा यही उद्धरणको स्रोत हो।