Alternativni nazivi subjekta: kako se identifikuje VPN server

Vaš klijent odbija certifikat čiji se lanac čisto validira, a greška kaže da se ime ne poklapa. Ta poruka nije o tome ko je potpisao certifikat. Ona je o ekstenziji alternativnih naziva subjekta, koja nosi identitete koje certifikat smije predstavljati, i o tome da li se identitet koji ste konfigurisali tamo pojavljuje u ispravnom obliku. Povjerenje odgovara ko ga je potpisao, dok provjera imena odgovara kojem hostu pripada.

Šta klijent zapravo poredi

Klijent pretvara vašu konfiguraciju u referentni identitet: ime hosta, adresu ili identifikator specifičan za protokol. Zatim traži taj identitet u certifikatu, primjenjujući pravila podudaranja protokola koji se koristi. Računaju se samo unosi iste vrste, pa DNS unos ne može zadovoljiti adresu, a poređenje se dešava bez obzira na to gleda li čovjek ikada u certifikat.

Kada referentni identitet nedostaje u toj ekstenziji, provjera pada čak i ako se naslijeđeno uobičajeno ime poklapa. Certifikat može biti legitimno izdat kompaniji i ipak biti pogrešan za vpn.example.com ako ime nikada nije uključeno. Neuspjeh je nepodudaranje imena iako je certifikat autentičan.

DNS imena i IP adrese su odvojeni unosi

Profil koji pokazuje na 203.0.113.10 dok certifikat navodi samo vpn.example.com biva odbijen, jer paketi stižu ali se identitet ne poklapa. DNS imena i adresni literali čuvaju se kao različite vrste unosa i jedno nikada ne zamjenjuje drugo. Zato usluga može biti dostupna preko adrese i ipak neupotrebljiva kroz profil koji koristi tu adresu.

Džokeri takođe slijede svoja pravila: džoker pokriva jednu oznaku, a ne svako ime ispod domene. DNS poređenje ne razlikuje velika i mala slova, dok druge vrste identifikatora razlikuju, pa vrijednost koja na ekranu izgleda identično može pasti na strogoj usporedbi. Provjerite pravila podudaranja za vrstu identiteta koja se koristi umjesto da poredite nizove okom. Dodavanje imena u ekstenziju je odluka o izdavanju, a ne nešto što postavka klijenta može pružiti.

Pregledajte certifikat koji je veza stvarno koristila

Čitajte materijal koji predstavlja živi endpoint, a ne datoteku kopiranu sa administrativne stranice. Balanser opterećenja ili zamjenska instanca može predstaviti nešto drugačije od certifikata uploadovanog prije nekoliko mjeseci, a ta razlika je nevidljiva u konzoli.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Blok alternativnih naziva subjekta, lanac izdavaoca i period važenja pripadaju istom čitanju, jer nepodudaranje imena i istek daju različite greške. Uporedite svako ime u tom bloku sa identitetom konfigurisanim u profilu, znak po znak, i zabilježite koje je vrste. Ponavljanje komande na adresni oblik endpointa pokazuje pokriva li certifikat oba identiteta ili samo jedan. Prijašnji prikaz subjekta u upravljačkoj konzoli nije rezultat validacije i ne govori ništa o tome koja imena ekstenzija sadrži.

Uobičajeno ime nije moderni izvor istine

Preglednici i većina TLS biblioteka sada ignorišu uobičajeno ime za podudaranje imena hosta i konsultuju ekstenziju. Neki VPN klijenti još uvijek prvo porede uobičajeno ime ili se na njega vraćaju kada ekstenzija nedostaje, i tako jedan certifikat može proći u pregledniku a pasti u klijentu. Ista provjera imena može proći na jednoj platformi a pasti na drugoj, a da se certifikat uopšte ne promijeni.

Saznajte koje polje vaš klijent čita prije nego što zaključite da je certifikat pogrešan. Dva klijenta na istom endpointu mogu se ne slagati, a to neslaganje je informacija o klijentu, ne o certifikatu.

Popravite izdavanje ili profil, ne provjeru

Kada je profil izgrađen oko aliasa, ili ga preusmjerite na dokumentovano ime hosta, ili ponovo izdajte certifikat za alias i rasporedite ga u planiranom terminu. Utišavanje upozorenja nije treća opcija, jer je provjera jedini korak koji povezuje potpisani certifikat s ovim konkretnim hostom. Njeno uklanjanje znači da bilo koji certifikat iste ustanove može zauzeti mjesto servera kojem ste htjeli pristupiti.

Obnova treba sačuvati predviđena imena i svrhu, a ne samo pomjeriti datum isteka naprijed. Obnova koja ispusti ime je novi prekid zakazan za sljedeće ponovno pokretanje, i obično dolazi bez upozorenja jer je stari certifikat još bio važeći kada je promjena napravljena.

Zabilježite očekivani identitet, imena koja su predstavljena i lanac koji ih je potpisao. Taj zapis pretvara sljedeću obnovu u poređenje umjesto u istragu. Definicija ekstenzije je u RFC 5280 ako trebate provjeriti konkretno izdavanje.