Mga alternatibong pangalan ng paksa: paano nakikilala ang isang VPN server

Tinatanggihan ng iyong kliyente ang isang sertipiko na malinis na nababalido ang kadena, at sinasabi ng error na hindi tumutugma ang pangalan. Ang mensaheng iyon ay hindi tungkol sa kung sino ang pumirma sa sertipiko. Ito ay tungkol sa extension ng mga alternatibong pangalan ng paksa, na nagdadala ng mga pagkakakilanlan na pinapayagang katawanin ng sertipiko, at tungkol sa kung ang pagkakakilanlang iyong na-configure ay lumilitaw doon sa tamang anyo. Sinasagot ng tiwala kung sino ang pumirma, habang sinasagot ng pagsusuri ng pangalan kung aling host ito nabibilang.

Ano ang aktuwal na inihahambing ng kliyente

Ginagawang reference identity ng kliyente ang iyong configuration: isang hostname, isang address, o isang identifier na partikular sa protocol. Pagkatapos ay hinahanap nito ang pagkakakilanlang iyon sa sertipiko, inilalapat ang mga tuntunin ng pagtutugma ng protocol na ginagamit. Ang mga entry lang ng parehong uri ang binibilang, kaya hindi matutugunan ng entry ng DNS ang isang address, at nagaganap ang paghahambing kahit may tumitingin sa sertipiko o wala.

Kapag nawawala ang reference identity sa extension na iyon, nabibigo ang pagsusuri kahit tumutugma ang lumang karaniwang pangalan. Ang isang sertipiko ay maaaring legal na inisyu sa isang kumpanya at mali pa rin para sa vpn.example.com kung ang pangalan ay hindi kailanman isinama. Ang kabiguan ay isang hindi pagtutugma ng pangalan kahit tunay ang sertipiko.

Ang mga pangalan ng DNS at address ng IP ay magkahiwalay na entry

Ang isang profile na tumuturo sa 203.0.113.10 habang ang sertipiko ay naglilista lamang ng vpn.example.com ay tinatanggihan, dahil dumarating ang mga packet ngunit hindi tumutugma ang pagkakakilanlan. Ang mga pangalan ng DNS at literal na address ay iniimbak bilang magkaibang uri ng entry, at ang isa ay hindi kailanman pumapalit sa isa. Kaya nga ang isang serbisyo ay maaaring maabot sa pamamagitan ng address at hindi pa rin magamit sa pamamagitan ng profile na gumagamit ng address na iyon.

Sinusunod din ng mga wildcard ang sarili nilang mga tuntunin: ang wildcard ay sumasaklaw sa isang label, hindi sa bawat pangalan sa ilalim ng isang domain. Ang paghahambing ng DNS ay hindi sensitibo sa malaki at maliit na titik, samantalang ang ibang uri ng identifier ay sensitibo, kaya ang isang halagang mukhang pareho sa screen ay maaaring mabigo sa mahigpit na paghahambing. Suriin ang mga tuntunin ng pagtutugma para sa uri ng pagkakakilanlang ginagamit sa halip na ihambing ang mga string sa mata. Ang pagdaragdag ng pangalan sa extension ay isang desisyon sa pag-isyu, hindi isang bagay na maibibigay ng setting ng kliyente.

Suriin ang sertipikong aktuwal na ginamit ng koneksyon

Basahin ang materyal na inilahad ng aktibong endpoint, hindi ang file na kinopya mula sa pahina ng administrasyon. Ang load balancer o kapalit na instance ay maaaring maglahad ng iba sa sertipikong in-upload mga buwan na ang nakalipas, at ang pagkakaibang iyon ay hindi nakikita sa console.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Ang bloke ng mga alternatibong pangalan ng paksa, ang kadena ng issuer at ang panahon ng bisa ay kabilang sa isang pagbasa, dahil ang hindi pagtutugma ng pangalan at pag-expire ay nagbubunga ng magkaibang error. Ihambing ang bawat pangalan sa bloke na iyon sa pagkakakilanlang na-configure sa profile, titik por titik, at itala kung anong uri ito. Ang pag-ulit ng command laban sa anyo ng address ng endpoint ay nagpapakita kung saklaw ng sertipiko ang dalawang pagkakakilanlan o isa lamang. Ang magiliw na pagpapakita ng paksa sa console ng pamamahala ay hindi resulta ng balidasyon at walang sinasabi tungkol sa kung aling mga pangalan ang nilalaman ng extension.

Ang karaniwang pangalan ay hindi ang modernong pinagmumulan ng katotohanan

Ang mga browser at karamihan ng TLS library ay hindi na pinapansin ang karaniwang pangalan para sa pagtutugma ng hostname at kumukonsulta sa extension. Ang ilang kliyente ng VPN ay inihahambing pa rin muna ang karaniwang pangalan o bumabalik dito kapag wala ang extension, at ganoon nga na ang isang sertipiko ay makapasa sa browser at mabigo sa kliyente. Ang parehong pagsusuri ng pangalan ay maaaring pumasa sa isang platform at mabigo sa isa pa nang hindi nagbabago ang sertipiko.

Alamin kung aling field ang binabasa ng iyong kliyente bago magpasya na mali ang sertipiko. Dalawang kliyente sa parehong endpoint ay maaaring hindi magkasundo, at ang hindi pagkakasundo ay impormasyon tungkol sa kliyente, hindi sa sertipiko.

Ayusin ang pag-isyu o ang profile, hindi ang pagsusuri

Kapag ang isang profile ay itinayo sa paligid ng isang alias, alinman ay ituro muli ito sa dokumentadong hostname o muling isyu ang sertipiko para sa alias at i-deploy ito sa planong window. Ang pagpatahimik sa babala ay hindi ikatlong opsyon, dahil ang pagsusuri ang tanging hakbang na nagbibigkis ng pinirmahang sertipiko sa partikular na host na ito. Ang pagtanggal nito ay nangangahulugan na anumang sertipiko mula sa parehong awtoridad ay maaaring pumalit sa server na nais mong maabot.

Dapat panatilihin ng pag-renew ang nilalayong mga pangalan at layunin sa halip na isulong lamang ang petsa ng pag-expire. Ang pag-renew na nagtatanggal ng pangalan ay isang bagong pagkagambala na naka-iskedyul para sa susunod na pag-restart, at kadalasan ay dumarating nang walang babala dahil valid pa ang lumang sertipiko nang gawin ang pagbabago.

Itala ang inaasahang pagkakakilanlan, ang mga pangalang inilahad at ang kadenang pumirma sa kanila. Ang talaang iyon ay ginagawang paghahambing ang susunod na pag-renew sa halip na imbestigasyon. Ang depinisyon ng extension ay nasa RFC 5280 kung kailangan mong suriin ang isang partikular na pag-isyu.