OpenVPN verify-x509-name: subject, name และ name-prefix

อ่านประเภทการจับคู่ก่อน แล้วจึงอ่านข้อความ: คำสั่ง verify-x509-name อาจดูถูกต้องแต่กลับยอมรับใบรับรองที่คุณไม่ได้ตั้งใจจะไว้วางใจ สองบรรทัดที่มีข้อความคาดหวังเหมือนกันแต่ประเภทต่างกันคือข้อกำหนดที่ต่างกัน อ่านประเภทก่อน แล้วจึงอ่านข้อความ มองคำสั่งนี้เป็นเงื่อนไขอีกข้อของการเชื่อมต่อ ไม่ใช่การตรวจสอบทั้งหมด

ตัวเลือกนี้ยืนยันอะไรจริง ๆ

คำสั่งระบุตัวตนที่ใบรับรองของอีกฝ่ายต้องมี เมื่อการเปรียบเทียบล้มเหลว OpenVPN จะยกเลิกแฮนด์เชกและไม่มีอุโมงค์เกิดขึ้น ทุกอย่างอื่นในโปรไฟล์ยังใช้อยู่ ใบรับรองต้องเชื่อมโยงถึง CA ที่เชื่อถือได้ และการตรวจสอบบทบาทต้องผ่าน ดังนั้นนี่คือเงื่อนไขเพิ่มเติม ไม่ใช่ตัวแทน โปรไฟล์ที่ตรงกับความคาดหวังเรื่องชื่อแต่ไม่ผ่านการตรวจสอบบทบาทยังคงเสีย และบันทึกมักบอกเช่นนั้น

ยังแตกต่างจากการตรวจสอบชื่อโฮสต์ที่เบราว์เซอร์ทำ เบราว์เซอร์จับคู่ชื่อกับชื่อทางเลือกของ subject ตามกฎของสแตก TLS ของตน ขณะที่ OpenVPN เปรียบเทียบฟิลด์เดียวของใบรับรองด้วยประเภทที่คุณเลือก จึงเป็นเหตุให้การวางชื่อโฮสต์แบบเบราว์เซอร์ลงในคำสั่งอาจทำให้ไม่ตรงกันได้ แม้ใบรับรองจะครอบคลุมบริการจริง

subject: ชื่อที่แตกต่างเต็มรูปแบบ ทีละอักขระ

เมื่อไม่ได้ระบุประเภท ค่าเริ่มต้นคือ subject และค่าที่คาดหวังต้องสร้าง subject DN ทั้งหมดของใบรับรองขึ้นมาใหม่ ลำดับฟิลด์ ตัวคั่น ช่องว่าง และการ escape ล้วนนับทั้งหมด เพราะการเปรียบเทียบทำบนสตริงตามที่เข้ารหัสไว้ หากละประเภทไว้ คุณได้เลือกการเปรียบเทียบที่เข้มที่สุดในสามแบบ ไม่มีขั้นตอนการทำให้เป็นมาตรฐานใดที่จะช่วยเหลือความต่างด้านรูปลักษณ์ เรื่องนี้ควรรู้ก่อนการต่ออายุครั้งแรก ไม่ใช่หลังจากนั้น

ความเข้มงวดนั้นเปราะบางเมื่อมีการต่ออายุซ้ำ CA ที่จัดเรียงแอตทริบิวต์ใหม่ แทรกฟิลด์เพิ่ม หรือเปลี่ยนวิธี escape ของค่า จะสร้างสตริงใหม่สำหรับเครื่องเดิม และคำสั่งที่ทำงานมานานหลายปีก็เริ่มล้มเหลวในการออกใบรับรองครั้งถัดไป การเก็บ DN ที่ยอมรับไว้ในบันทึกการเปลี่ยนแปลงทำให้การต่ออายุครั้งถัดไปกลายเป็นความต่าง เมื่อผู้ดูแลเผยแพร่ DN เต็มและรับประกันรูปร่างของมัน subject จึงเป็นทางเลือกที่สมเหตุสมผล ที่อื่นฟิลด์ที่แคบกว่าจะรักษาความจริงได้ง่ายกว่า

name: ฟิลด์เดียว ปกติคือชื่อสามัญ

ประเภท name เปรียบเทียบฟิลด์เดียวของ subject เว้นแต่โปรไฟล์จะระบุเป็นอย่างอื่น ฟิลด์นั้นคือชื่อสามัญ และค่าที่คาดหวังคือฟิลด์นั้นพอดี ไม่ใช่ DN ที่ล้อมรอบ

กับดักคือใบรับรองสมัยใหม่ไม่ได้ใส่ชื่อบริการใน CN เสมอไป หลายใบใส่ไว้ในชื่อทางเลือกของ subject และปล่อย CN ว่างหรือเป็นชื่อทั่วไป ดังนั้นใบรับรองที่เบราว์เซอร์ยอมรับอาจยังล้มเหลวในการเปรียบเทียบนี้ ตรวจดูใบรับรองที่ออกให้คุณจริงก่อนเขียนความคาดหวัง และยืนยันว่าโปรไฟล์เลือกฟิลด์ใด CN ว่างที่นำไปเปรียบเทียบกับชื่อคือความไม่ตรงกัน ไม่ใช่อุบัติเหตุของการตั้งค่า

name-prefix: กว้างโดยการออกแบบ จึงต้องกำหนดขอบเขต

ความคาดหวังประเภท name-prefix ตรงกับจุดเริ่มต้นของฟิลด์ที่เลือก สิ่งนี้สะดวกสำหรับรูปแบบการตั้งชื่อและอันตรายสำหรับสิ่งที่ใช้ร่วมกัน

หากความคาดหวังคือ vpn.example ทั้ง vpn.example.com และ vpn.example.net จะผ่าน หากส่วนที่เหลือของห่วงโซ่ได้รับความไว้วางใจ ความกว้างคือคุณสมบัติ และเป็นส่วนที่ต้องให้เหตุผลเป็นลายลักษณ์อักษรด้วย คำนำหน้าเหมาะสมเมื่อ CA และรูปแบบการตั้งชื่อเป็นของคุณ และอ่อนกว่ามากเมื่อ CA สาธารณะออกใบรับรองในรูปแบบเดียวกัน หากรูปแบบต้องการความยืดหยุ่น ให้จำกัดที่ CA แทนการขยายการตรวจสอบฝั่งไคลเอนต์

เลือกประเภทจากตัวระบุ แล้วจึงพิสูจน์

ทำงานย้อนกลับจากตัวตนที่ผู้ดูแลตั้งใจ หากเผยแพร่ DN เต็มและรักษาให้คงที่ subject สื่อความหมายเช่นนั้น หากเรียกชื่อบริการด้วยชื่อสามัญ ให้ใช้ name หากมีรูปแบบการตั้งชื่อและยอมรับพื้นที่ทั้งหมด name-prefix ระบุเช่นนั้นอย่างชัดเจน

การต่ออายุคือจุดที่คำสั่งถูกทดสอบ เปรียบเทียบตัวตนที่อนุมัติกับใบรับรองใหม่ ไม่ใช่กับไฟล์เก่า เพราะที่อยู่ปลายทางใหม่ไม่ได้หมายถึงตัวตนใบรับรองใหม่ อย่าลบคำสั่งเพียงเพราะที่อยู่คุ้นเคยตอบสนอง: การเข้าถึงได้กับอีกฝ่ายที่ตั้งใจเป็นข้อเท็จจริงที่ต่างกัน และที่อยู่พิสูจน์เพียงว่ามีบางสิ่งตอบสนอง บันทึกข้อผิดพลาดที่แน่นอนและรายละเอียดชื่อสาธารณะไว้ในรายงานที่ทำความสะอาดแล้ว เพราะความไม่ตรงกันของชื่อสามารถแสดงได้โดยไม่ต้องใช้ข้อมูลกุญแจส่วนตัวใด ๆ

หลังการแก้ไขที่รองรับ ให้เชื่อมต่อใหม่โดยเปิดการตรวจสอบที่ตั้งใจทั้งหมด และตรวจสอบทรัพยากรที่คุณต้องการจริง ความสำเร็จหมายถึงเซิร์ฟเวอร์ที่ตั้งใจได้รับการยอมรับ ไม่ใช่การบังคับให้ใบรับรองใดผ่านไป คู่มืออย่างเป็นทางการ OpenVPN 2.6 manual อธิบายประเภททั้งสามและบันทึกเรื่องความไว้วางใจ และเป็นแหล่งอ้างอิงที่ควรอ้างถึงเมื่ออินเทอร์เฟซของผู้ขายไม่ตรงกับโปรไฟล์