Alternative emnenamn: korleis ein VPN-server blir identifisert

Klienten din avviser eit sertifikat der kjeda blir validert reint, og feilen seier at namnet ikkje samsvarer. Den meldinga handlar ikkje om kven som signerte sertifikatet. Ho handlar om utvidinga for alternative emnenamn, som ber identitetane sertifikatet har lov til å representere, og om identiteten du konfigurerte viser seg der i rett form. Tillit svarar på kven som signerte det, medan namnekontrollen svarar på kva vert det høyrer til.

Kva klienten faktisk samanliknar

Klienten gjer konfigurasjonen din om til ein referanseidentitet: eit vertsnamn, ei adresse eller ein protokollspesifikk identifikator. Deretter søkjer han etter identiteten i sertifikatet og brukar samsvarsreglane til protokollen som blir brukt. Berre oppføringar av same type tel, så ei DNS-oppføring kan ikkje tilfredsstille ei adresse, og samanlikninga skjer uansett om nokon ser på sertifikatet eller ikkje.

Når referanseidentiteten manglar i utvidinga, feilar kontrollen sjølv om det gamle vanlege namnet samsvarer. Eit sertifikat kan vere lovleg utstedt til ei verksemd og likevel vere feil for vpn.example.com om namnet aldri vart inkludert. Feilen er eit namneavvik, sjølv om sertifikatet er ekte.

DNS-namn og IP-adresser er separate oppføringar

Ein profil som peikar på 203.0.113.10 medan sertifikatet berre listar vpn.example.com, blir avvist fordi pakkane kjem fram, men identiteten ikkje samsvarer. DNS-namn og adresseliteralar blir lagra som ulike oppføringstypar, og den eine erstattar aldri den andre. Difor kan ei teneste vere nåbar via adresse og likevel ubrukeleg gjennom ein profil som brukar den adressa.

Jokerteikn følgjer òg eigne reglar: eit jokerteikn dekkjer éi etikett, ikkje alle namn under eit domene. DNS-samanlikning skil ikkje mellom store og små bokstavar, medan andre identifikatortypat gjer det, så ein verdi som ser identisk ut på skjermen kan feile i ein streng samanlikning. Kontroller samsvarsreglane for identitetstypen som blir brukt i staden for å samanlikne strengar med auget. Å leggje til eit namn i utvidinga er ei utstedingavgjerd, ikkje noko ein klientinnstilling kan levere.

Undersøk sertifikatet tilkoplinga faktisk brukte

Les materialet den aktive endepunktet presenterer, ikkje ei fil kopiert frå ei administrasjonsside. Ein lastbalansar eller ein erstatningsinstans kan presentere noko anna enn sertifikatet som vart lasta opp for månader sidan, og skilnaden er usynleg i ein konsoll.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Blokka med alternative emnenamn, utferdarkjeda og gyldigheitsperioden høyrer til same lesing, fordi namneavvik og utløp gir ulike feil. Samanlikn kvart namn i blokka med identiteten som er konfigurert i profilen, teikn for teikn, og noter kva type det er. Blir kommandoen gjenteken mot adresseforma til endepunktet, viser det om sertifikatet dekkjer begge identitetane eller berre éin. Ei venleg emnevisning i ein administrasjonskonsoll er ikkje eit valideringsresultat og seier ingenting om kva namn utvidinga inneheld.

Det vanlege namnet er ikkje den moderne sanningkjelda

Nettlesarar og dei fleste TLS-bibliotek ignorerer no det vanlege namnet for vertsnamnmatching og konsulterer utvidinga i staden. Nokre VPN-klientar samanliknar framleis det vanlege namnet først eller fell tilbake på det når utvidinga manglar, og slik kan eitt sertifikat bestå i ein nettlesar og feile i ein klient. Den same namnekontrollen kan bestå på éin plattform og feile på ein annan utan at sertifikatet endrar seg i det heile.

Finn ut kva felt klienten din les før du avgjer at sertifikatet er feil. To klientar på same endepunkt kan vere usamde, og usemja er informasjon om klienten, ikkje om sertifikatet.

Reparer utstedinga eller profilen, ikkje kontrollen

Når ein profil er bygd rundt eit alias, må du anten peike han mot det dokumenterte vertsnamnet eller utstede sertifikatet på nytt for aliaset og rulle det ut i eit planlagt vindauge. Å dempe åtvaringa er ikkje eit tredje alternativ, fordi kontrollen er det einaste trinnet som bind eit signert sertifikat til nettopp denne verten. Å fjerne han betyr at eit kva som helst sertifikat frå same styresmakt kan stå inn for serveren du meinte å nå.

Fornying bør bevare dei tiltenkte namna og føremålet i staden for berre å flytte utløpsdatoen framover. Ei fornying som droppar eit namn, er eit nytt avbrot planlagt for neste omstart, og det kjem vanlegvis utan åtvaring fordi det gamle sertifikatet framleis var gyldig då endringa vart gjord.

Registrer den forventa identiteten, namna som vart presenterte og kjeda som signerte dei. Den registreringa gjer neste fornying til ein samanlikning i staden for ei undersøking. Definisjonen av utvidinga står i RFC 5280 om du må kontrollere ei bestemd utsteding.