Konu alternatif adları: bir VPN sunucusu nasıl tanımlanır

İstemciniz zinciri temiz doğrulanan bir sertifikayı reddediyor ve hata adın eşleşmediğini söylüyor. Bu ileti sertifikayı kimin imzaladığıyla ilgili değil. İleti, sertifikanın temsil etmesine izin verilen kimlikleri taşıyan konu alternatif adları uzantısıyla ve yapılandırdığınız kimliğin orada doğru biçimde görünüp görünmediğiyle ilgilidir. Güven kimin imzaladığını yanıtlar, ad denetimi ise hangi ana makineye ait olduğunu yanıtlar.

İstemci gerçekte neyi karşılaştırır

İstemci yapılandırmanızı bir referans kimliğe dönüştürür: bir ana makine adı, bir adres veya protokole özgü bir tanımlayıcı. Ardından kullanılan protokolün eşleştirme kurallarını uygulayarak sertifikada bu kimliği arar. Yalnızca aynı türdeki girişler sayılır, bu nedenle bir DNS girişi bir adresi karşılayamaz ve karşılaştırma birinin sertifikaya bakıp bakmamasından bağımsız olarak yapılır.

Referans kimlik bu uzantıda yoksa, eski ortak ad eşleşse bile denetim başarısız olur. Bir sertifika bir şirkete yasal olarak verilebilir ve ad hiç eklenmediyse vpn.example.com için yine de yanlış olabilir. Sertifika gerçek olsa da başarısızlık bir ad uyuşmazlığıdır.

DNS adları ve IP adresleri ayrı girişlerdir

203.0.113.10 adresine işaret eden bir profil, sertifika yalnızca vpn.example.com listeliyorsa reddedilir, çünkü paketler ulaşır ama kimlik eşleşmez. DNS adları ve harfi harfine adresler farklı giriş türleri olarak saklanır ve biri asla diğerinin yerini almaz. Bu yüzden bir hizmet adresle erişilebilir olup yine de o adresi kullanan bir profil aracılığıyla kullanılamaz olabilir.

Joker karakterler de kendi kurallarına uyar: bir joker karakter tek bir etiketi kapsar, bir alan adının altındaki her adı değil. DNS karşılaştırması büyük-küçük harfe duyarlı değildir, oysa diğer tanımlayıcı türleri duyarlıdır, bu nedenle ekranda aynı görünen bir değer katı bir karşılaştırmada başarısız olabilir. Kullanılan kimlik türü için eşleştirme kurallarını denetleyin, dizeleri gözle karşılaştırmak yerine. Uzantıya ad eklemek bir verme kararıdır, istemci ayarının sağlayabileceği bir şey değildir.

Bağlantının gerçekte kullandığı sertifikayı inceleyin

Yönetim sayfasından kopyalanmış bir dosyayı değil, canlı uç noktanın sunduğu malzemeyi okuyun. Bir yük dengeleyici veya yedek örnek, aylar önce yüklenen sertifikadan farklı bir şey sunabilir ve bu fark konsolda görünmez.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Konu alternatif adları bloğu, veren zinciri ve geçerlilik dönemi aynı okumaya aittir, çünkü ad uyuşmazlığı ve süre sonu farklı hatalar üretir. O bloktaki her adı profilde yapılandırılan kimlikle karakter karakter karşılaştırın ve hangi türde olduğunu not edin. Komutu uç noktanın adres biçimine karşı yinelemek, sertifikanın iki kimliği mi yoksa yalnızca birini mi kapsadığını gösterir. Bir yönetim konsolundaki dostça konu görünümü bir doğrulama sonucu değildir ve uzantının hangi adları içerdiği hakkında hiçbir şey söylemez.

Ortak ad, modern gerçeğin kaynağı değildir

Tarayıcılar ve çoğu TLS kitaplığı artık ana makine adı eşleştirmesi için ortak adı yok sayar ve uzantıya başvurur. Bazı VPN istemcileri hâlâ önce ortak adı karşılaştırır veya uzantı yokken ona geri döner, bu yüzden tek bir sertifika tarayıcıda geçip istemcide başarısız olabilir. Aynı ad denetimi sertifika hiç değişmeden bir platformda geçip başka bir platformda başarısız olabilir.

Sertifikanın yanlış olduğuna karar vermeden önce istemcinizin hangi alanı okuduğunu öğrenin. Aynı uç noktadaki iki istemci anlaşamayabilir ve bu anlaşmazlık sertifika hakkında değil, istemci hakkında bilgidir.

Denetimi değil, vermeyi veya profili onarın

Bir profil bir takma ad etrafında kurulduysa, ya onu belgelenmiş ana makine adına yönlendirin ya da takma ad için sertifikayı yeniden verin ve planlanmış bir pencerede devreye alın. Uyarıyı susturmak üçüncü bir seçenek değildir, çünkü denetim imzalı bir sertifikayı tam olarak bu ana makineye bağlayan tek adımdır. Onu kaldırmak, aynı otoriteden herhangi bir sertifikanın ulaşmak istediğiniz sunucunun yerine geçebileceği anlamına gelir.

Yenileme, amaçlanan adları ve amacı korumalıdır, yalnızca son kullanma tarihini ileri taşımak değil. Bir adı düşüren yenileme, bir sonraki yeniden başlatma için planlanmış yeni bir kesintidir ve değişiklik yapıldığında eski sertifika hâlâ geçerli olduğu için genellikle uyarı olmadan gelir.

Beklenen kimliği, sunulan adları ve bunları imzalayan zinciri kaydedin. Bu kayıt, sonraki yenilemeyi soruşturma yerine karşılaştırmaya dönüştürür. Uzantının tanımı RFC 5280 içindedir, belirli bir vermeyi denetlemeniz gerekirse.