Alternativna imena subjekta: kako se identificira strežnik VPN

Vaš odjemalec zavrne potrdilo, katerega veriga se čisto preveri, in napaka pravi, da se ime ne ujema. To sporočilo ne govori o tem, kdo je potrdilo podpisal. Govori o razširitvi alternativnih imen subjekta, ki nosi identitete, ki jih potrdilo sme predstavljati, in o tem, ali se identiteta, ki ste jo nastavili, tam pojavi v pravilni obliki. Zaupanje odgovarja, kdo ga je podpisal, medtem ko preverjanje imena odgovarja, kateremu gostitelju pripada.

Kaj odjemalec dejansko primerja

Odjemalec vašo konfiguracijo spremeni v referenčno identiteto: ime gostitelja, naslov ali identifikator, specifičen za protokol. Nato v potrdilu išče to identiteto in uporabi pravila ujemanja uporabljenega protokola. Štejejo le vnosi iste vrste, zato vnos DNS ne more zadovoljiti naslova, in primerjava se zgodi ne glede na to, ali kdo pogleda potrdilo ali ne.

Ko v tej razširitvi referenčne identitete ni, preverjanje spodleti, tudi če se staro skupno ime ujema. Potrdilo je lahko zakonito izdano podjetju in je še vedno napačno za vpn.example.com, če ime ni bilo nikoli vključeno. Neuspeh je neujemanje imena, čeprav je potrdilo pristno.

Imena DNS in naslovi IP so ločeni vnosi

Profil, ki kaže na 203.0.113.10, medtem ko potrdilo navaja le vpn.example.com, je zavrnjen, ker paketi prispejo, a identiteta se ne ujema. Imena DNS in dobesedni naslovi se shranjujejo kot različne vrste vnosov in eno nikoli ne nadomesti drugega. Zato je storitev lahko dosegljiva po naslovu in vendar neuporabna prek profila, ki uporablja ta naslov.

Nadomestni znaki tudi sledijo svojim pravilom: nadomestni znak pokriva eno oznako, ne vsakega imena pod domeno. Primerjava DNS ne razlikuje velikih in malih črk, medtem ko druge vrste identifikatorjev jih, zato vrednost, ki je na zaslonu videti enaka, lahko spodleti pri strogem primerjanju. Preverite pravila ujemanja za uporabljeno vrsto identitete, namesto da bi nize primerjali na oko. Dodajanje imena v razširitev je odločitev ob izdaji, ne pa nekaj, kar lahko zagotovi nastavitev odjemalca.

Preglejte potrdilo, ki ga je povezava res uporabila

Preberite gradivo, ki ga predstavi aktivna končna točka, ne datoteke, kopirane z upravne strani. Uravnavalnik obremenitve ali nadomestni primerek lahko predstavi nekaj drugačnega od potrdila, naloženega pred meseci, in ta razlika v konzoli ni vidna.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Blok alternativnih imen subjekta, veriga izdajatelja in obdobje veljavnosti spadajo k istemu branju, ker neujemanje imena in iztek roka dajeta različne napake. Primerjajte vsako ime v tem bloku z identiteto, nastavljeno v profilu, znak za znakom, in zabeležite, katere vrste je. Ponovitev ukaza za naslovno obliko končne točke pokaže, ali potrdilo pokriva obe identiteti ali le eno. Prijeten prikaz subjekta v upravni konzoli ni rezultat preverjanja in ne pove ničesar o tem, katera imena vsebuje razširitev.

Skupno ime ni sodobni vir resnice

Brskalniki in večina knjižnic TLS zdaj pri ujemanju imena gostitelja ignorirajo skupno ime in se obrnejo na razširitev. Nekateri odjemalci VPN še vedno najprej primerjajo skupno ime ali se nanj zanesejo, ko razširitve ni, in tako lahko eno potrdilo uspe v brskalniku in spodleti v odjemalcu. Isto preverjanje imena lahko uspe na eni platformi in spodleti na drugi, ne da bi se potrdilo sploh spremenilo.

Ugotovite, katero polje bere vaš odjemalec, preden sklenete, da je potrdilo napačno. Dva odjemalca na isti končni točki se lahko ne strinjata, in to nesoglasje je informacija o odjemalcu, ne o potrdilu.

Popravite izdajo ali profil, ne preverjanja

Ko je bil profil zgrajen okoli vzdevka, ga bodisi preusmerite na dokumentirano ime gostitelja bodisi ponovno izdajte potrdilo za vzdevek in ga uvedite v načrtovanem oknu. Utišanje opozorila ni tretja možnost, ker je preverjanje edini korak, ki podpisano potrdilo veže na tega konkretnega gostitelja. Njegova odstranitev pomeni, da lahko katero koli potrdilo iste ustanove stopi na mesto strežnika, ki ste ga želeli doseči.

Obnova bi morala ohraniti predvidena imena in namen, ne le premakniti datuma izteka naprej. Obnova, ki izpusti ime, je nova prekinitev, načrtovana za naslednji zagon, in običajno pride brez opozorila, ker je bilo staro potrdilo ob spremembi še veljavno.

Zabeležite pričakovano identiteto, predstavljena imena in verigo, ki jih je podpisala. Ta zapis spremeni naslednjo obnovo v primerjavo namesto v preiskavo. Opredelitev razširitve je v RFC 5280, če morate preveriti določeno izdajo.