Алтернативна имена субјекта: како се идентификује VPN сервер

Ваш клијент одбија сертификат чији се ланац чисто валидира, а грешка каже да се име не поклапа. Та порука није о томе ко је потписао сертификат. Она је о проширењу алтернативних имена субјекта, које носи идентитете које сертификат сме да представља, и о томе да ли се идентитет који сте конфигурисали појављује тамо у исправном облику. Поверење одговара ко га је потписао, а провера имена одговара ком домаћину припада.

Шта клијент заиста пореди

Клијент претвара вашу конфигурацију у референтни идентитет: име домаћина, адресу или идентификатор специфичан за протокол. Затим тражи тај идентитет у сертификату, примењујући правила поклапања коришћеног протокола. Рачунају се само записи истог типа, па DNS запис не може да задовољи адресу, и поређење се дешава без обзира да ли неко гледа у сертификат.

Када референтни идентитет недостаје у том проширењу, провера не успева чак и ако се стари заједнички назив поклапа. Сертификат може бити законито издат компанији и ипак бити погрешан за vpn.example.com ако име никада није укључено. Неуспех је непоклапање имена, иако је сертификат аутентичан.

DNS имена и IP адресе су одвојени записи

Профил који показује на 203.0.113.10 док сертификат наводи само vpn.example.com бива одбијен, јер пакети стижу али идентитет се не поклапа. DNS имена и буквалне адресе чувају се као различити типови записа, и једно никада не замењује друго. Зато услуга може бити доступна преко адресе и ипак неупотребљива кроз профил који користи ту адресу.

Џокер знакови такође следе своја правила: џокер знак покрива једну ознаку, а не свако име под доменом. DNS поређење не разликује велика и мала слова, док други типови идентификатора разликују, па вредност која на екрану изгледа исто може пасти на строгом поређењу. Проверите правила поклапања за тип идентитета који се користи, уместо да поредите низове оком. Додавање имена у проширење је одлука о издавању, а не нешто што подешавање клијента може да обезбеди.

Прегледајте сертификат који је веза стварно користила

Читајте материјал који представља активна крајња тачка, а не датотеку копирану са административне странице. Балансер оптерећења или заменска инстанца може представити нешто другачије од сертификата учитаног пре месеци, и та разлика је невидљива у конзоли.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Блок алтернативних имена субјекта, ланац издаваоца и период важења припадају истом читању, јер непоклапање имена и истек дају различите грешке. Упоредите свако име у том блоку са идентитетом конфигурисаним у профилу, знак по знак, и забележите ког је типа. Понављање команде на адресни облик крајње тачке показује да ли сертификат покрива оба идентитета или само један. Пријатељски приказ субјекта у конзоли за управљање није резултат валидације и ништа не говори о томе која имена проширење садржи.

Заједнички назив није савремени извор истине

Прегледачи и већина TLS библиотека сада игноришу заједнички назив за поклапање имена домаћина и консултују проширење. Неки VPN клијенти још увек прво пореде заједнички назив или се враћају на њега када проширење недостаје, и тако један сертификат може проћи у прегледачу а пасти у клијенту. Иста провера имена може проћи на једној платформи а пасти на другој, без да се сертификат уопште промени.

Откријте које поље ваш клијент чита пре него што одлучите да је сертификат погрешан. Два клијента на истој крајњој тачки могу се не сложити, а то неслагање је информација о клијенту, не о сертификату.

Поправите издавање или профил, не проверу

Када је профил изграђен око алијаса, или га преусмерите на документовано име домаћина, или поново издајте сертификат за алијас и распоредите га у планираном прозору. Утишавање упозорења није трећа опција, јер је провера једини корак који повезује потписани сертификат са овим конкретним домаћином. Његово уклањање значи да било који сертификат истог органа може заузети место сервера коме сте хтели да приступите.

Обнављање треба да сачува предвиђена имена и сврху, а не само да помери датум истека напред. Обнављање које изгуби име је нови прекид заказан за следеће поновно покретање, и обично долази без упозорења јер је стари сертификат још био важећи када је промена направљена.

Забележите очекивани идентитет, представљена имена и ланац који их је потписао. Тај запис претвара следеће обнављање у поређење уместо у истрагу. Дефиниција проширења је у RFC 5280 ако треба да проверите конкретно издавање.