Alternativa ämnesnamn: hur en VPN-server identifieras

Din klient avvisar ett certifikat vars kedja valideras rent, och felet säger att namnet inte matchar. Meddelandet handlar inte om vem som signerade certifikatet. Det handlar om tillägget med alternativa ämnesnamn, som bär de identiteter certifikatet får representera, och om den identitet du konfigurerade visas där i rätt form. Förtroende svarar på vem som signerade det, medan namnkontrollen svarar på vilken värd det tillhör.

Vad klienten faktiskt jämför

Klienten omvandlar din konfiguration till en referensidentitet: ett värdnamn, en adress eller en protokollspecifik identifierare. Sedan söker den efter identiteten i certifikatet och tillämpar matchningsreglerna för protokollet som används. Bara poster av samma typ räknas, så en DNS-post kan inte uppfylla en adress, och jämförelsen sker oavsett om någon tittar på certifikatet eller inte.

När referensidentiteten saknas i tillägget misslyckas kontrollen även om det gamla vanliga namnet matchar. Ett certifikat kan vara lagligt utfärdat till ett företag och ändå vara fel för vpn.example.com om namnet aldrig togs med. Felet är en namnavvikelse, även om certifikatet är äkta.

DNS-namn och IP-adresser är separata poster

En profil som pekar på 203.0.113.10 medan certifikatet bara listar vpn.example.com avvisas, eftersom paketen kommer fram men identiteten inte matchar. DNS-namn och adressliteraler lagras som olika posttyper, och den ena ersätter aldrig den andra. Därför kan en tjänst vara nåbar via adress och ändå oanvändbar genom en profil som använder den adressen.

Jokertecken följer också sina egna regler: ett jokertecken täcker en enda etikett, inte varje namn under en domän. DNS-jämförelse skiljer inte på stora och små bokstäver, medan andra identifierartyper gör det, så ett värde som ser identiskt ut på skärmen kan falla i en strikt jämförelse. Kontrollera matchningsreglerna för den identitetstyp som används i stället för att jämföra strängar med ögat. Att lägga till ett namn i tillägget är ett utfärdandebeslut, inte något en klientinställning kan leverera.

Granska certifikatet som anslutningen faktiskt använde

Läs det material som den aktiva slutpunkten presenterar, inte en fil kopierad från en administrationssida. En lastbalanserare eller en ersättningsinstans kan presentera något annat än certifikatet som laddades upp för månader sedan, och skillnaden är osynlig i en konsol.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Blocket med alternativa ämnesnamn, utgivarkedjan och giltighetsperioden hör till samma läsning, eftersom en namnavvikelse och ett utgångsdatum ger olika fel. Jämför varje namn i blocket med identiteten som konfigurerats i profilen, tecken för tecken, och notera vilken typ det är. Upprepas kommandot mot slutpunktens adressform syns det om certifikatet täcker båda identiteterna eller bara en. En vänlig ämnesvisning i en administrationskonsol är inte ett valideringsresultat och säger inget om vilka namn tillägget innehåller.

Det vanliga namnet är inte den moderna sanningens källa

Webbläsare och de flesta TLS-bibliotek ignorerar nu det vanliga namnet för värdnamnsmatchning och konsulterar tillägget. Vissa VPN-klienter jämför fortfarande det vanliga namnet först eller faller tillbaka på det när tillägget saknas, och så kan ett certifikat passera i en webbläsare och misslyckas i en klient. Samma namnkontroll kan passera på en plattform och misslyckas på en annan utan att certifikatet ändras alls.

Ta reda på vilket fält din klient läser innan du avgör att certifikatet är fel. Två klienter på samma slutpunkt kan vara oense, och oenigheten är information om klienten, inte om certifikatet.

Reparera utfärdandet eller profilen, inte kontrollen

När en profil har byggts kring ett alias, antingen peka om den mot det dokumenterade värdnamnet eller utfärda certifikatet igen för aliaset och driftsätt det i ett planerat fönster. Att tysta varningen är inte ett tredje alternativ, eftersom kontrollen är det enda steget som binder ett signerat certifikat till just denna värd. Att ta bort den betyder att vilket certifikat som helst från samma utfärdare kan ta serverplatsen du ville nå.

Förnyelsen bör bevara de avsedda namnen och syftet i stället för att bara flytta utgångsdatumet framåt. En förnyelse som tappar ett namn är ett nytt avbrott planerat till nästa omstart, och det kommer oftast utan varning eftersom det gamla certifikatet fortfarande var giltigt när ändringen gjordes.

Registrera den förväntade identiteten, namnen som presenterades och kedjan som signerade dem. Den registreringen gör nästa förnyelse till en jämförelse i stället för en undersökning. Definitionen av tillägget finns i RFC 5280 om du behöver kontrollera en specifik utfärdning.