Emrat alternativë të subjektit: si identifikohet një server VPN

Klienti juaj refuzon një certifikatë zinxhiri i së cilës validohet pastër, dhe gabimi thotë se emri nuk përputhet. Ai mesazh nuk është për atë se kush e nënshkroi certifikatën. Është për shtojcën e emrave alternativë të subjektit, që mban identitetet të cilat certifikata mund t'i përfaqësojë, dhe për atë nëse identiteti që konfiguruat shfaqet atje në formën e duhur. Besimi përgjigjet kush e nënshkroi, ndërsa kontrolli i emrit përgjigjet se cilit host i përket.

Çfarë krahason në të vërtetë klienti

Klienti e kthen konfigurimin tuaj në një identitet referencë: një emër hosti, një adresë ose një identifikues specifik për protokollin. Më pas kërkon atë identitet në certifikatë, duke zbatuar rregullat e përputhjes të protokollit në përdorim. Numërohen vetëm hyrjet e të njëjtit lloj, kështu që një hyrje DNS nuk mund të plotësojë një adresë, dhe krahasimi bëhet pavarësisht nëse dikush shikon certifikatën apo jo.

Kur identiteti referencë mungon në atë shtojcë, kontrolli dështon edhe pse emri i vjetër i përbashkët përputhet. Një certifikatë mund të lëshohet ligjërisht për një kompani dhe prapë të jetë e gabuar për vpn.example.com nëse emri nuk u përfshi kurrë. Dështimi është një mospërputhje emri, edhe pse certifikata është autentike.

Emrat DNS dhe adresat IP janë hyrje të veçanta

Një profil që tregon 203.0.113.10 ndërsa certifikata liston vetëm vpn.example.com refuzohet, sepse paketat mbërrijnë por identiteti nuk përputhet. Emrat DNS dhe adresat literale ruhen si lloje të ndryshme hyrjesh, dhe njëri nuk e zë vendin e tjetrit. Prandaj një shërbim mund të jetë i arritshëm me adresë dhe prapë i papërdorshëm përmes një profili që përdor atë adresë.

Edhe karakteret e gjera ndjekin rregullat e tyre: një karakter i gjerë mbulon një etiketë, jo çdo emër nën një domen. Krahasimi DNS nuk e dallon shkronjën e madhe nga e vogël, ndërsa llojet e tjera të identifikuesit e dallojnë, kështu që një vlerë që duket identike në ekran mund të dështojë në një krahasim të rreptë. Kontrolloni rregullat e përputhjes për llojin e identitetit në përdorim, në vend që të krahasoni vargjet me sy. Shtimi i një emri në shtojcë është vendim lëshimi, jo diçka që mund të sigurojë një cilësim klienti.

Inspektoni certifikatën që lidhja përdori vërtet

Lexoni materialin që paraqet pika e fundit aktive, jo një skedar të kopjuar nga një faqe administrimi. Një balancues ngarkese ose një instancë zëvendësuese mund të paraqesë diçka ndryshe nga certifikata e ngarkuar muaj më parë, dhe ai ndryshim është i padukshëm në një konsolë.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Blloku i emrave alternativë të subjektit, zinxhiri i lëshuesit dhe periudha e vlefshmërisë i përkasin të njëjtit lexim, sepse mospërputhja e emrit dhe skadimi prodhojnë gabime të ndryshme. Krahasoni çdo emër në atë bllok me identitetin e konfiguruar në profil, karakter për karakter, dhe vini re çfarë lloji është. Përsëritja e komandës ndaj formës së adresës së pikës fundore tregon nëse certifikata mbulon të dy identitetet apo vetëm një. Një shfaqje miqësore e subjektit në një konsolë administrimi nuk është rezultat validimi dhe nuk thotë asgjë për emrat që përmban shtojca.

Emri i përbashkët nuk është burimi modern i së vërtetës

Shfletuesit dhe shumica e bibliotekave TLS tani e injorojnë emrin e përbashkët për përputhjen e emrit të hostit dhe konsultojnë shtojcën. Disa klientë VPN ende krahasojnë së pari emrin e përbashkët ose kthehen tek ai kur shtojca mungon, dhe kështu një certifikatë mund të kalojë në një shfletues dhe të dështojë në një klient. I njëjti kontroll emri mund të kalojë në një platformë dhe të dështojë në një tjetër pa ndryshuar fare certifikata.

Zbuloni cilën fushë lexon klienti juaj përpara se të vendosni që certifikata është e gabuar. Dy klientë në të njëjtën pikë fundore mund të mos bien dakord, dhe mospajtimi është informacion për klientin, jo për certifikatën.

Rregulloni lëshimin ose profilin, jo kontrollin

Kur një profil është ndërtuar rreth një pseudonimi, ose ridrejtojeni në emrin e hostit të dokumentuar, ose rilëshoni certifikatën për pseudonimin dhe vendoseni në një dritare të planifikuar. Heqja e paralajmërimit nuk është një opsion i tretë, sepse kontrolli është hapi i vetëm që lidh një certifikatë të nënshkruar me këtë host të caktuar. Heqja e tij do të thotë që çdo certifikatë nga i njëjti autoritet mund të zërë vendin e serverit që synohej të arrihej.

Rinovimi duhet të ruajë emrat dhe qëllimin e synuar, jo thjesht të zhvendosë datën e skadimit përpara. Një rinovim që humbet një emër është një ndërprerje e re e planifikuar për rinisjen e ardhshme, dhe zakonisht vjen pa paralajmërim sepse certifikata e vjetër ishte ende e vlefshme kur u bë ndryshimi.

Regjistroni identitetin e pritur, emrat e paraqitur dhe zinxhirin që i nënshkroi. Ai regjistrim e kthen rinovimin e ardhshëm në krahasim në vend të hetimi. Përkufizimi i shtojcës është në RFC 5280 nëse duhet të kontrolloni një lëshim të caktuar.