OpenVPN verify-x509-name: subject, name ve name-prefix

Önce eşleşme türünü, sonra metni okuyun: bir verify-x509-name yönergesi doğru görünüp yine de güvenmeyi amaçlamadığınız bir sertifikayı kabul edebilir. Beklenen metni aynı ama türleri farklı iki satır iki farklı gerekliliktir. Önce türü, sonra metni okuyun. Yönergeyi bağlantı üzerindeki bir koşul daha olarak ele alın, tüm denetim olarak değil.

Seçenek gerçekte ne iddia ediyor

Yönerge, karşı tarafın sertifikasının taşıması gereken kimliği adlandırır. Karşılaştırma başarısız olduğunda, OpenVPN el sıkışmayı iptal eder ve hiçbir tünel açılmaz. Profildeki diğer her şey hâlâ geçerlidir: sertifika güvenilen bir CA'ya zincirlenmeli ve rol denetimi geçmelidir, yani bu ek bir koşuldur, yerine geçen bir şey değil. Ad beklentisini karşılayıp rol denetiminde başarısız olan profil yine bozuktur ve günlük genellikle bunu söyler.

Bu, tarayıcının yaptığı ana makine adı doğrulamasından da farklıdır. Tarayıcı adları kendi TLS yığınının kurallarına göre subject'in alternatif adlarıyla eşleştirirken, OpenVPN seçtiğiniz türle sertifikanın tek bir alanını karşılaştırır. Bu yüzden tarayıcı tarzı bir ana makine adını yönergeye yapıştırmak, sertifika hizmeti gerçekten kapsasa bile uyuşmazlık üretebilir.

subject: tam ayırt edici ad, karakter karakter

Tür yazılmadığında varsayılan subject olur ve beklenen değer sertifikanın tüm subject DN'sini yeniden üretmelidir. Alan sırası, ayırıcılar, boşluklar ve escaping hepsi hesaba katılır, çünkü karşılaştırma kodlandığı haliyle dize üzerinde yürür. Türü atlarsanız üç karşılaştırmanın en katısını seçmiş olursunuz. Görsel bir farkı kurtaracak hiçbir normalleştirme adımı yoktur. Bunu ilk yenilemeden önce bilmeye değer, sonra değil.

Bu katılık yenilemeler arasında kırılgandır. Öznitelikleri yeniden sıralayan, fazladan alan ekleyen veya bir değerin escaping biçimini değiştiren CA aynı makine için yeni bir dize üretir ve yıllarca çalışan yönerge bir sonraki yayında başarısız olmaya başlar. Kabul edilen DN'yi değişiklik kaydında tutmak bir sonraki yenilemeyi bir farka dönüştürür. Operatörün tam bir DN yayımladığı ve biçimini garanti ettiği yerlerde subject makul bir seçimdir; başka yerlerde daha dar bir alanı doğru tutmak daha kolaydır.

name: tek alan, genellikle ortak ad

Tür name subject'in tek bir alanını karşılaştırır. Profil aksini söylemiyorsa bu alan ortak addır ve beklenen değer tam olarak bu alandır, çevresindeki DN değil.

Kanca şu ki modern sertifikalar hizmet adını her zaman CN'ye koymaz. Birçoğu onu subject'in alternatif adında taşır ve CN'yi boş ya da genel bırakır, bu yüzden tarayıcının kabul ettiği bir sertifika bu karşılaştırmada yine başarısız olabilir. Beklentiyi yazmadan önce size gerçekte verilen sertifikayı inceleyin ve profilin hangi alanı seçtiğini doğrulayın. Boş bir CN'nin bir adla karşılaştırılması uyuşmazlıktır, yapılandırma kazası değil.

name-prefix: tasarımı gereği geniş, öyleyse kapsamı daraltın

Türü name-prefix bir beklenti seçilen alanın başlangıcıyla eşleşir. Bu bir adlandırma düzeni için kullanışlı, paylaşılan her şey için tehlikelidir.

Beklenti vpn.example ise, hem vpn.example.com hem de vpn.example.net geçerdi, zincirin geri kalanı güvenilir olmak koşuluyla. Genişlik özelliktir ve aynı zamanda yazılı olarak gerekçelendirilmesi gereken kısımdır. CA ve adlandırma düzeni sizinse önek makuldür ve bir ortak CA aynı kalıpta yayımlıyorsa çok daha zayıftır. Düzen esneklik gerektiriyorsa istemci denetimini genişletmek yerine CA'da sınırlayın.

Türü tanımlayıcıdan seçin, sonra kanıtlayın

Operatörün amaçladığı kimlikten geriye doğru çalışın. Tam bir DN yayımlar ve onu kararlı tutarsa, subject bunu ifade eder. Hizmeti ortak adla adlandırırsa şunu kullanın name . Bir adlandırma düzenine sahipse ve tüm uzamını kabul ediyorsa, name-prefix bunu açıkça söyler.

Yenilemeler yönergenin sınandığı yerdir. Onaylanan kimliği eski dosyayla değil yeni sertifikayla karşılaştırın, çünkü yeni uç nokta adresi yeni sertifika kimliği anlamına gelmez. Sadece tanıdık bir adres yanıt veriyor diye yönergeyi silmeyin: erişilebilirlik ile amaçlanan karşı taraf farklı gerçeklerdir ve adres yalnızca bir şeyin yanıt verdiğini kanıtlar. Kesin hatayı ve adın genel ayrıntılarını temizlenmiş bir raporda kaydedin, çünkü ad uyuşmazlığı herhangi bir özel anahtar malzemesi olmadan gösterilebilir.

Desteklenen bir düzeltmeden sonra, amaçlanan tüm denetimler etkinken yeniden bağlanın ve gerçekten ihtiyaç duyduğunuz kaynağı doğrulayın. Başarı, amaçlanan sunucunun kabul edildiği anlamına gelir, bir sertifikanın zorla geçirildiği değil. Resmî kılavuz OpenVPN 2.6 manual üç türü ve bunların güven notlarını belgeler ve bir satıcı arayüzü profille çeliştiğinde başvurulacak kaynak odur.