OpenVPN verify-x509-name: subject, name dhe name-prefix

Lexoni së pari llojin e përputhjes dhe pastaj tekstin: një verify-x509-name direktivë mund të duket e saktë dhe gjithsesi të pranojë një certifikatë që nuk kishit ndërmend ta besonit. Dy rreshta me të njëjtin tekst të pritur por lloje të ndryshme janë dy kërkesa të ndryshme. Lexoni së pari llojin, pastaj tekstin. Trajtojeni direktivën si një kusht tjetër për lidhjen, jo si të gjithë verifikimin.

Çfarë pohon në të vërtetë opsioni

Direktiva emërton një identitet që certifikata e palës tjetër duhet të mbajë. Kur krahasimi dështon, OpenVPN ndërpret shtrëngimin e duarve dhe nuk ngrihet asnjë tunel. Çdo gjë tjetër në profil vlen ende: certifikata duhet të zinxhirohet në një CA të besuar dhe kontrolli i rolit duhet të kalojë, pra ky është një kusht shtesë dhe jo një zëvendësim. Një profil që plotëson pritjen e emrit dhe dështon në kontrollin e rolit është ende i prishur, dhe regjistri zakonisht e thotë këtë.

Ai ndryshon edhe nga vërtetimi i emrit të hostit që bën një shfletues. Shfletuesi përputh emrat me emrat alternativë të subject sipas rregullave të stivit të tij TLS, ndërsa OpenVPN krahason një fushë të certifikatës me llojin që zgjodhët ju. Për këtë arsye ngjitja e një emri hosti në stil shfletuesi në direktivë mund të prodhojë mospërputhje edhe kur certifikata e mbulon vërtet shërbimin.

subject: emri i plotë dallues, karakter pas karakteri

Kur nuk shkruhet asnjë lloj, parazgjedhja është subject dhe vlera e pritur duhet të riprodhojë të gjithë subject DN e certifikatës. Rendi i fushave, ndarësit, hapësirat dhe escaping numërohen të gjitha, sepse krahasimi zhvillohet mbi vargun ashtu siç është koduar. Nëse lini jashtë llojin, keni zgjedhur më të rreptën e tre krahasimeve. Nuk ka asnjë hap normalizimi që shpëton një ndryshim kozmetik. Ia vlen ta dini përpara rinovimit të parë, jo pas tij.

Ajo rreptësi është e brishtë mes rinovimeve. Një CA që rirendit atributet, fut një fushë shtesë ose ndryshon mënyrën e escaping të një vlere prodhon një varg të ri për të njëjtën makinë, dhe një direktivë që funksionoi për vite fillon të dështojë në nxjerrjen tjetër. Mbajtja e DN-së së pranuar në regjistrin e ndryshimeve e kthen rinovimin tjetër në një ndryshim. Aty ku operatori publikon një DN të plotë dhe garanton formën e saj, subject është një zgjedhje e arsyeshme; gjetkë një fushë më e ngushtë është më e lehtë për t'u mbajtur e vërtetë.

name: një fushë, zakonisht emri i përbashkët

Lloji name krahason një fushë të vetme të subject. Nëse profili nuk thotë ndryshe, ajo fushë është emri i përbashkët, dhe vlera e pritur është pikërisht ajo fushë, jo DN rreth saj.

Gracka është se certifikatat moderne nuk e vendosin gjithmonë emrin e shërbimit në CN. Shumë e mbajnë në një emër alternativ të subject dhe e lënë CN bosh ose të përgjithshëm, kështu që një certifikatë që shfletuesi e pranon mund të dështojë gjithsesi në këtë krahasim. Shqyrtoni certifikatën që ju është lëshuar vërtet përpara se të shkruani pritjen dhe konfirmoni cilën fushë zgjedh profili. Një CN bosh i krahasuar me një emër është mospërputhje, jo aksident konfigurimi.

name-prefix: i gjerë nga dizajni, prandaj kufizoni shtrirjen

Një pritje e llojit name-prefix përputhet me fillimin e fushës së zgjedhur. Kjo është e përshtatshme për një skemë emërtimi dhe e rrezikshme për çdo gjë të ndarë.

Me vpn.example si pritje, do të kalonin të dyja vpn.example.com dhe vpn.example.net , me kusht që pjesa tjetër e zinxhirit të jetë e besuar. Gjerësia është vetia dhe njëkohësisht pjesa që duhet justifikuar me shkrim. Një prefiks është i arsyeshëm kur CA-ja dhe skema e emërtimit janë tuajat, dhe shumë më i dobët kur një CA publike lëshon në të njëjtin model. Nëse skema ka nevojë për fleksibilitet, kufizojeni në CA në vend që të zgjeroni kontrollin e klientit.

Zgjidhni llojin nga identifikuesi, pastaj provojeni

Punoni mbrapsht nga identiteti që operatori synon. Nëse publikon një DN të plotë dhe e mban të qëndrueshëm, subject kjo e shpreh. Nëse e emërton shërbimin me emrin e përbashkët, përdorni name . Nëse zotëron një skemë emërtimi dhe pranon të gjithë hapësirën e saj, name-prefix kjo e thotë shprehimisht.

Rinovimet janë vendi ku direktiva vihet në provë. Krahasoni identitetin e miratuar me certifikatën e re dhe jo me skedarin e vjetër, sepse një adresë e re pikëmbarimi nuk nënkupton një identitet të re certifikate. Mos e fshini direktivën vetëm sepse një adresë e njohur përgjigjet: arritshmëria dhe pala tjetër e synuar janë fakte të ndryshme , dhe adresa vërteton vetëm se diçka u përgjigj. Regjistroni gabimin e saktë dhe të dhënat publike të emrit në një raport të pastruar, sepse një mospërputhje emri mund të tregohet pa asnjë material çelësi privat.

Pas një korrigjimi të mbështetur, rilidhuni me të gjitha kontrollet e synuara aktive dhe verifikoni burimin që ju nevojitet vërtet. Suksesi do të thotë që serveri i synuar u pranua, jo se një certifikatë u shty me forcë. Manuali zyrtar OpenVPN 2.6 manual dokumenton tre llojet dhe shënimet e tyre të besimit, dhe është referenca që citohet kur një ndërfaqe furnizuesi nuk pajtohet me profilin.