Kutokulingana kwa cheti cha SSTP: jina ambalo seva yako inapaswa kuwasilisha

SSTP mteja wa SSTP hukubali seva tu baada ya uthibitishaji wa TLS kufanikiwa, na ukaguzi huo hulinganisha jina, mnyororo na madhumuni. Jina hutoka kwenye wasifu wa muunganisho, si kwenye anwani ambayo kwa bahati unaweza kuipiga ping. Wakati mmoja wa watatu hao haulingani, mteja huripoti tatizo la cheti na hufika kamwe kwenye kidokezo cha kuingia.

Jina la wasifu huamua kile kinachokaguliwa

SSTP huendesha TLS juu ya TCP 443, kwa hiyo mteja hujiendesha kama mteja mwingine yeyote wa TLS: huchukua jina la mwenyeji kutoka kwenye wasifu, huomba jina hilo na hulinganisha cheti nacho. Ukiandika anwani ya IP kwenye wasifu, ulinganisho hugeuka kuwa ulinganisho wa anwani za IP, ambao vyeti vingi vya seva havikidhi.

Kwa hiyo jaribio la kivinjari linaweza kufanikiwa wakati VPN inashindwa, kwa sababu kivinjari kilitumia jina tofauti na la wasifu. Mgawanyiko huo huo unaonekana wakati DNS split-horizon inatatua jina la mwenyeji wa VPN kuwa anwani ya ndani wakati kivinjari kilifika kwenye anwani ya umma. Kwanza linganisha wasifu na jina la mwenyeji lililoandikwa, kisha linganisha vyeti. Kitu kingine chochote unachobadilisha kabla ya hapo ni kukisia.

Kile ambacho cheti cha seva kinapaswa kubeba

Wateja wa kisasa hulinganisha na kiendelezi cha majina mbadala ya somo, kwa hiyo jina la mwenyeji linapaswa kuwa hapo kama ingizo la DNS. Jina la kawaida peke yake halitoshelezi tabaka za uthibitishaji za leo, na alama ya pori hufunika lebo moja, si kikoa kidogo chochote unachobuni. Vyeti vitatu vinaonyesha mpaka: jina sahihi lenye madhumuni yasiyofaa huthibitisha utambulisho kisha hushindwa kwenye ukaguzi wa madhumuni, jina na madhumuni sahihi pamoja na cheti cha kati kinachokosekana hushindwa kwenye mnyororo, na jina linaloonekana tu kwenye jina la kawaida hushindwa kabla ya mojawapo ya hayo mawili kuwa na maana.

Cheti pia kinahitaji madhumuni ya uthibitishaji wa seva, thamani ya matumizi ya ufunguo iliyopanuliwa inayotajwa katika vipimo vya SSTP vya Microsoft, yaani serverAuth yenye kitambulisho cha kitu 1.3.6.1.5.5.7.3.1. Matumizi ya ufunguo na mnyororo halali hukamilisha seti. Cheti kilichopo kwenye seva, kilichotolewa kwa jina sahihi lakini kwa uthibitishaji wa mteja pekee, bado hushindwa.

Kagua mnyororo na saa kabla ya vitambulisho

Kushindwa kwa muda na uaminifu hutoa matokeo yanayoonekana sawa na kutokulingana kwa jina, na yote mawili ni rahisi kugundua kuliko tatizo la neno la siri. Kagua saa ya seva na saa ya mteja, kisha soma mnyororo jinsi mteja unavyoona:

# from the client, or any host that runs openssl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -ext subjectAltName
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -verify_return_error </dev/null
# on the Windows server that holds the SSTP listener
w32tm /query /status

Amri ya kwanza huchapisha jina, dirisha la uhalali na majina mbadala ambayo mteja atalinganisha nayo. Ya pili huripoti makosa ya uthibitishaji pamoja na mnyororo kama ulivyowasilishwa, na hapo ndipo cheti cha kati kinachokosekana huonekana. Kwenye Windows, swali la huduma ya muda hukuambia kama saa inasahihishwa au imeondoka tu.

CA ya ndani inaongeza sharti moja zaidi: mteja lazima aiamini CA hiyo. Sakinisha mzizi wa shirika kupitia njia yake ya usambazaji iliyoidhinishwa, si kutoka ukurasa unaotoa cheti mbadala, kwa sababu uamuzi huo ni mfano kamili wa uaminifu kwa uchache.

Uthibitishaji wa seva na uthibitishaji wa mtumiaji ni hatua mfululizo zenye kushindwa tofauti. Hitilafu ya cheti humaanisha mteja hakuwahi kuamini seva, wakati neno la siri lililokataliwa humaanisha aliamini seva na vitambulisho vilikuwa vibaya. Kuzima uthibitishaji wa cheti ili kufikia kidokezo cha neno la siri huondoa dhamana badala ya kuirekebisha. Ili kuthibitisha kuwa njia iliyobaki inafanya kazi, jaribu jina la mwenyeji na bandari sawa kutoka kwa mteja anayeamini mnyororo tayari, na uache wasifu uliosambazwa kama ulivyo.

Rekebisha jina au cheti kisha ujaribu tena

Masharti matatu huamua ukarabati. Ikiwa jina la wasifu si sahihi, rekebisha wasifu au ongeza jina linalokosekana kwenye cheti. Ikiwa mnyororo haujakamilika, sakinisha cheti cha kati kwenye seva. Ikiwa madhumuni si sahihi, toa tena badala ya kufunika kwa viraka.

Baada ya mabadiliko, unganisha tena na mteja unaotumika na uthibitisha kuwa kidokezo cha kuingia kinaonekana, kisha kwamba handaki linapanda. Andika kwenye tikiti jina la mwenyeji lililotumika, mtoaji na tarehe ya mwisho. Rekodi hiyo ndiyo inayofanya usasishaji ujao kuwa kazi iliyoratibiwa badala ya kukatika tena, na pia inaonyesha mtu anayefuata ni sharti gani kati ya matatu lililokuwa limevunjika kweli.