Alternatívne názvy predmetu: ako sa identifikuje server VPN

Váš klient odmietne certifikát, ktorého reťazec sa čisto overí, a chyba hovorí, že názov sa nezhoduje. Tá správa nie je o tom, kto certifikát podpísal. Je o rozšírení alternatívnych názvov predmetu, ktoré nesie identity, ktoré certifikát smie zastupovať, a o tom, či sa identita, ktorú ste nastavili, objavuje v správnej podobe. Dôvera odpovedá na to, kto ho podpísal, zatiaľ čo kontrola názvu odpovedá na to, ktorému hostiteľovi patrí.

Čo klient skutočne porovnáva

Klient prevedie vašu konfiguráciu na referenčnú identitu: názov hostiteľa, adresu alebo identifikátor špecifický pre protokol. Potom v certifikáte hľadá túto identitu a uplatňuje pravidlá párovania používaného protokolu. Počítajú sa len položky rovnakého typu, takže položka DNS nemôže uspokojiť adresu, a porovnanie prebehne bez ohľadu na to, či sa niekto na certifikát vôbec pozrie.

Keď v tomto rozšírení referenčná identita chýba, kontrola zlyhá, aj keď starší všeobecný názov zodpovedá. Certifikát môže byť oprávnene vydaný spoločnosti a napriek tomu byť pre vpn.example.com nesprávny, ak názov nebol nikdy zahrnutý. Zlyhanie je nezhoda názvu, aj keď je certifikát pravý.

Názvy DNS a adresy IP sú samostatné položky

Profil, ktorý ukazuje na 203.0.113.10, zatiaľ čo certifikát uvádza len vpn.example.com, je odmietnutý, pretože pakety dorazia, ale identita nesúhlasí. Názvy DNS a adresné literály sa ukladajú ako rôzne typy položiek a jedno nikdy nenahradí druhé. Preto môže byť služba dostupná podľa adresy a napriek tomu nepoužiteľná cez profil, ktorý túto adresu používa.

Divé karty majú tiež svoje pravidlá: divá karta pokrýva jednu menovku, nie každý názov pod doménou. Porovnanie DNS nerozlišuje veľké a malé písmená, zatiaľ čo iné typy identifikátorov áno, takže hodnota, ktorá na obrazovke vyzerá rovnako, môže v prísnom porovnaní zlyhať. Skontrolujte pravidlá párovania pre používaný typ identity, namiesto porovnávania reťazcov očami. Pridanie názvu do rozšírenia je rozhodnutie pri vydaní, nie niečo, čo môže zabezpečiť nastavenie klienta.

Preskúmajte certifikát, ktorý spojenie skutočne použilo

Čítajte materiál, ktorý predkladá živý koncový bod, nie súbor skopírovaný zo stránky správy. Nástroj na vyvažovanie záťaže alebo náhradná inštancia môže predstaviť niečo iné než certifikát nahraný pred mesiacmi, a tento rozdiel je v konzole neviditeľný.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Blok alternatívnych názvov predmetu, reťazec vydavateľa aj doba platnosti patria do jedného čítania, pretože nezhoda názvu a vypršanie platnosti vytvárajú rôzne chyby. Porovnajte každý názov v tomto bloku s identitou nastavenou v profile, znak po znaku, a poznamenajte si, o aký typ ide. Opakovanie príkazu proti adresnej podobe koncového bodu ukáže, či certifikát pokrýva obe identity alebo len jednu. Prívetivé zobrazenie predmetu v riadiacej konzole nie je výsledkom validácie a nehovorí nič o tom, ktoré názvy rozšírenie obsahuje.

Všeobecný názov nie je moderným zdrojom pravdy

Prehliadače a väčšina knižníc TLS teraz pri párovaní názvu hostiteľa ignorujú všeobecný názov a obracajú sa na rozšírenie. Niektorí klienti VPN stále najprv porovnávajú všeobecný názov alebo sa k nemu vracajú, keď rozšírenie chýba, a tak jeden certifikát môže prejsť v prehliadači a zlyhať v klientovi. Rovnaká kontrola názvu môže prejsť na jednej platforme a zlyhať na inej, bez toho aby sa certifikát vôbec zmenil.

Zistite, ktoré pole váš klient číta, skôr než rozhodnete, že certifikát je nesprávny. Dvaja klienti na rovnakom koncovom bode sa môžu rozchádzať a ten rozpor je informácia o klientovi, nie o certifikáte.

Opravte vydanie alebo profil, nie kontrolu

Keď bol profil postavený okolo aliasu, buď ho presmerujte na dokumentovaný názov hostiteľa, alebo znovu vydajte certifikát pre alias a nasaďte ho v plánovanom okne. Umlčanie upozornenia nie je treťou možnosťou, pretože kontrola je jediný krok, ktorý viaže podpísaný certifikát k tomuto konkrétnemu hostiteľovi. Jej odstránenie znamená, že akýkoľvek certifikát od tej istej autority môže zaujať miesto servera, ku ktorému ste chceli pristúpiť.

Obnova by mala zachovať zamýšľané názvy a účel, nie len posunúť dátum vypršania dopredu. Obnova, ktorá vypustí názov, je nový výpadok naplánovaný na ďalší reštart, a zvyčajne prichádza bez varovania, pretože starý certifikát bol v čase zmeny stále platný.

Zaznamenajte očakávanú identitu, predložené názvy a reťazec, ktorý ich podpísal. Tento záznam premení nasledujúcu obnovu na porovnanie namiesto vyšetrovania. Definícia rozšírenia je v RFC 5280, ak potrebujete overiť konkrétne vydanie.