OpenVPN verify-x509-name: subject, name na name-prefix

Soma kwanza aina ya ulinganishaji, kisha maandishi: verify-x509-name agizo linaweza kuonekana sawa na bado likakubali cheti usiyokusudia kuamini. Mistari miwili yenye maandishi sawa yanayotarajiwa lakini aina tofauti ni mahitaji mawili tofauti. Soma kwanza aina, kisha maandishi. Lichukulie agizo kama sharti moja zaidi la muunganisho, sio ukaguzi wote.

Kile ambacho chaguo hili huthibitisha kwa kweli

Agizo hutaja utambulisho ambao cheti cha upande mwingine lazima kiwe nao. Pale ulinganishaji unashindwa, OpenVPN huacha makubaliano ya mkono na hakuna handaki linaloinuka. Kila kitu kingine kwenye wasifu bado kinatumika: cheti lazima kifungwe kwa CA inayoaminika na ukaguzi wa jukumu lazima upite, kwa hiyo hili ni sharti la ziada, sio mbadala. Wasifu unaotimiza matarajio ya jina na kushindwa ukaguzi wa jukumu bado umevunjika, na kumbukumbu kwa kawaida husema hivyo.

Pia ni tofauti na uthibitishaji wa jina la mwenyeji unaofanywa na kivinjari. Kivinjari hulinganisha majina na majina mbadala ya subject kulingana na kanuni za mrundikano wake wa TLS, ilhali OpenVPN hulinganisha sehemu moja ya cheti na aina uliyochagua. Ndiyo sababu kubandika jina la mwenyeji kwa mtindo wa kivinjari kwenye agizo kunaweza kuleta kutokubaliana hata cheti kinapofunika huduma kwa kweli.

subject: jina kamili la kutofautisha, herufi kwa herufi

Pale aina haijaandikwa, chaguo-msingi ni subject na thamani inayotarajiwa lazima itoe upya subject DN yote ya cheti. Mpangilio wa sehemu, vitenganishi, nafasi na escaping vyote vinahesabiwa, kwa sababu ulinganishaji hufanyika kwenye mfuatano jinsi ulivyosimbwa. Ukiacha aina, umechagua ulinganishaji mkali zaidi kati ya matatu. Hakuna hatua ya kurekebisha inayookoa tofauti ya mwonekano. Ni vyema kujua hili kabla ya uboreshaji wa kwanza, sio baada.

Ukali huo ni dhaifu kati ya uboreshaji. CA inayopanga upya sifa, inaingiza sehemu ya ziada au inabadilisha jinsi inavyofanya escaping ya thamani huunda mfuatano mpya kwa mashine hiyo hiyo, na agizo lililofanya kazi kwa miaka huanza kushindwa kwenye utoaji unaofuata. Kutunza DN iliyokubaliwa kwenye kumbukumbu ya mabadiliko hufanya uboreshaji unaofuata kuwa tofauti. Pale mwendeshaji anachapisha DN kamili na kuhakikisha umbo lake, subject ni chaguo la busara; mahali pengine sehemu nyembamba ni rahisi kutunza kweli.

name: sehemu moja, kwa kawaida jina la kawaida

Aina name hulinganisha sehemu moja ya subject. Isipokuwa wasifu useme vinginevyo, sehemu hiyo ni jina la kawaida, na thamani inayotarajiwa ni sehemu hiyo hasa, sio DN inayoizunguka.

Mtego ni kwamba vyeti vya kisasa huweka jina la huduma kwenye CN kila wakati. Vingi huibeba kwenye jina mbadala la subject na kuacha CN tupu au la jumla, kwa hiyo cheti ambacho kivinjari kinakubali bado kinaweza kushindwa ulinganishaji huu. Kagua cheti ulichopewa kwa kweli kabla ya kuandika matarajio, na uthibitisha ni sehemu gani wasifu unaichagua. CN tupu ikilinganishwa na jina ni kutokubaliana, sio ajali ya usanidi.

name-prefix: pana kwa muundo, kwa hiyo punguza wigo

Matarajio ya aina name-prefix hulingana na mwanzo wa sehemu iliyochaguliwa. Hiyo ni rahisi kwa mpango wa majina na hatari kwa kitu chochote kinachoshirikiwa.

Ikiwa matarajio ni vpn.example , zote mbili vpn.example.com na vpn.example.net zingepita, mradi mnyororo uliobaki unaaminika. Upana ni sifa, na pia ni sehemu inayopaswa kuhalalishwa kwa maandishi. Kiambishi awali ni busara pale CA na mpango wa majina ni wako, na dhaifu zaidi pale CA ya umma inatoa kwa muundo huo huo. Ikiwa mpango unahitaji kubadilika, uweke kikomo kwenye CA badala ya kupanua ukaguzi wa mteja.

Chagua aina kutoka kwa kitambulisho, kisha uthibitishe

Fanya kazi kinyume kutoka kwa utambulisho ambao mwendeshaji anakusudia. Ikiwa anachapisha DN kamili na kuihifadhi thabiti, subject hilo hulieleza. Ikiwa anataja huduma kwa jina la kawaida, tumia name . Ikiwa anamiliki mpango wa majina na anakubali nafasi yake yote, name-prefix hilo hulisema waziwazi.

Uboreshaji ndio mahali agizo linapojaribiwa. Linganisha utambulisho ulioidhinishwa na cheti kipya badala ya faili la zamani, kwa sababu anwani mpya ya kituo cha mwisho haimaanishi utambulisho mpya wa cheti. Usifute agizo kwa sababu tu anwani inayojulikana inajibu: ufikivu na upande mwingine unaokusudiwa ni ukweli mbili tofauti , na anwani inathibitisha tu kwamba kitu fulani kilijibu. Rekodi hitilafu kamili na maelezo ya umma ya jina kwenye ripoti iliyosafishwa, kwa sababu kutokubaliana kwa jina kunaweza kuonyeshwa bila nyenzo yoyote ya ufunguo wa faragha.

Baada ya marekebisho yanayoungwa mkono, unganisha tena na ukaguzi wote unaokusudiwa ukiwa umewashwa na uthibitishe rasilimali unayohitaji kwa kweli. Mafanikio humaanisha kuwa seva iliyokusudiwa ilikubaliwa, sio kwamba cheti fulani kililazimishwa kupita. Mwongozo rasmi OpenVPN 2.6 manual unaandika aina tatu na maelezo yao ya uaminifu, na ndio rejeleo linalotajwa pale kiolesura cha muuzaji hakikubaliani na wasifu.