Mospërputhja e certifikatës SSTP: emri që serveri juaj duhet të paraqesë

SSTP klient SSTP e pranon serverin vetëm pasi validimi TLS të ketë sukses, dhe ai kontroll krahason një emër, një zinxhir dhe një qëllim. Emri vjen nga profili i lidhjes, jo nga adresa që rastësisht mund të pingoni. Kur njëra nga të tre nuk përputhet, klienti raporton një problem certifikate dhe nuk arrin kurrë te kërkesa e hyrjes.

Emri në profil përcakton çfarë kontrollohet

SSTP ekzekuton TLS mbi TCP 443, kështu që klienti sillet si çdo klient tjetër TLS: merr emrin e hostit nga profili, kërkon atë emër dhe krahason certifikatën me të. Nëse shkruani një adresë IP në profil, krahasimi bëhet krahasim i adresave IP, të cilin shumica e certifikatave të serverit nuk e plotësojnë.

Prandaj një test në shfletues mund të ketë sukses ndërsa VPN dështon, sepse shfletuesi përdori një emër të ndryshëm nga profili. E njëjta ndarje shfaqet kur DNS split-horizon e zgjidh emrin e hostit të VPN-së në një adresë të brendshme, ndërsa shfletuesi arriti në një publike. Së pari rreshtoni profilin me emrin e hostit të dokumentuar, pastaj krahasoni certifikatat. Çdo gjë tjetër që ndryshoni para kësaj është hamendje.

Çfarë duhet të mbajë certifikata e serverit

Klientët modernë krahasojnë me shtojcën e emrave alternativë të subjektit, kështu që emri i hostit duhet të jetë atje si një hyrje DNS. Vetëm emri i përbashkët nuk mjafton për shtresat e validimit të sotme, dhe kartela e egër mbulon një etiketë, jo çdo nëndomen që shpikni. Tre certifikata tregojnë kufirin: emri i saktë me qëllim të gabuar vërteton identitetin dhe pastaj dështon në kontrollin e qëllimit, emri dhe qëllimi i saktë me një ndërmjetës që mungon dështojnë në zinxhir, dhe një emër që shfaqet vetëm në emrin e përbashkët dështon para se ndonjëri prej atyre dyve të ketë rëndësi.

Certifikata ka nevojë edhe për qëllimin vërtetimi i serverit, vlerën e përdorimit të zgjeruar të çelësit të përmendur në specifikimit SSTP të Microsoft, domethënë serverAuth me identifikuesin e objektit 1.3.6.1.5.5.7.3.1. Përdorimi i çelësit dhe një zinxhir i vlefshëm plotësojnë grupin. Një certifikatë që ekziston në server, e lëshuar për emrin e saktë por vetëm për vërtetimin e klientit, përsëri dështon.

Kontrolloni zinxhirin dhe orën para kredencialeve

Dështimet e kohës dhe të besimit japin të njëjtin rezultat të dukshëm si mospërputhja e emrit, dhe të dyja janë më të lira për t'u diagnostikuar sesa një problem me fjalëkalimin. Kontrolloni orën e serverit dhe orën e klientit, pastaj lexoni zinxhirin ashtu siç e sheh klienti:

# from the client, or any host that runs openssl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -ext subjectAltName
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -verify_return_error </dev/null
# on the Windows server that holds the SSTP listener
w32tm /query /status

Komanda e parë printon emrin, dritaren e vlefshmërisë dhe emrat alternativë me të cilët klienti do të krahasojë. E dyta raporton gabime verifikimi bashkë me zinxhirin siç paraqitet, dhe aty shfaqet një ndërmjetës që mungon. Në Windows, pyetja e shërbimit të kohës ju thotë nëse ora po korrigjohet ose thjesht ka shkarë.

Një CA e brendshme shton një kusht tjetër: klienti duhet t'i besojë asaj CA. Instaloni rrënjën organizative përmes kanalit të miratuar të shpërndarjes, jo nga një faqe që ofron një certifikatë zëvendësuese, sepse ai vendim është i gjithë modeli i besimit në miniaturë.

Validimi i serverit dhe vërtetimi i përdoruesit janë faza të njëpasnjëshme me dështime të ndryshme. Një gabim certifikate do të thotë që klienti nuk i besoi kurrë serverit, ndërsa një fjalëkalim i refuzuar do të thotë që ai i besoi serverit dhe kredencialet ishin të gabuara. Fikja e validimit të certifikatës për të arritur te kërkesa e fjalëkalimit heq garancinë në vend që ta rregullojë. Për të provuar se pjesa tjetër e rrugës funksionon, testoni të njëjtin emër hosti dhe portë nga një klient që tashmë i beson zinxhirit, dhe lini profilin e vendosur siç është.

Rregulloni emrin ose certifikatën dhe testoni përsëri

Tre kushte vendosin rregullimin. Nëse emri i profilit është i gabuar, rregulloni profilin ose shtoni emrin që mungon në certifikatë. Nëse zinxhiri është i paplotë, instaloni ndërmjetësin në server. Nëse qëllimi është i gabuar, lëshoni përsëri në vend që të patchoni përreth.

Pas ndryshimit, rilidhuni me klientin e mbështetur dhe konfirmoni se shfaqet kërkesa e hyrjes dhe pastaj se tuneli ngrihet. Shënoni në biletë emrin e hostit të përdorur, lëshuesin dhe datën e skadimit. Ai regjistrim është ai që e bën rinovimin e radhës një detyrë të planifikuar në vend të një ndërprerjeje tjetër, dhe i tregon personit të radhës cila nga të tre kushtet ishte me të vërtetë e shkelur.