موضوع کے متبادل نام: VPN سرور کی شناخت کیسے ہوتی ہے

آپ کا کلائنٹ ایسا سرٹیفکیٹ مسترد کرتا ہے جس کی زنجیر صاف طور پر توثیق ہوتی ہے، اور خرابی کہتی ہے کہ نام مماثل نہیں۔ وہ پیغام اس بارے میں نہیں کہ سرٹیفکیٹ پر کس نے دستخط کیے۔ یہ موضوع کے متبادل ناموں کی توسیع کے بارے میں ہے، جو ان شناختوں کو رکھتی ہے جن کی نمائندگی سرٹیفکیٹ کو اجازت ہے، اور اس بارے میں کہ آپ کی ترتیب کردہ شناخت وہاں درست شکل میں ظاہر ہوتی ہے یا نہیں۔ اعتماد بتاتا ہے کس نے دستخط کیے، جبکہ نام کی جانچ بتاتی ہے کہ یہ کس ہوسٹ کا ہے۔

کلائنٹ دراصل کیا موازنہ کرتا ہے

کلائنٹ آپ کی ترتیب کو حوالہ جاتی شناخت میں بدلتا ہے: ہوسٹ نام، پتہ، یا پروٹوکول کے لیے مخصوص شناخت کنندہ۔ پھر وہ سرٹیفکیٹ میں وہ شناخت تلاش کرتا ہے، استعمال شدہ پروٹوکول کے مماثلت کے قواعد لاگو کرتے ہوئے۔ صرف ایک ہی قسم کے اندراج گنے جاتے ہیں، اس لیے DNS اندراج کسی پتے کو پورا نہیں کر سکتا، اور موازنہ اس سے قطع نظر ہوتا ہے کہ کوئی سرٹیفکیٹ دیکھے یا نہ دیکھے۔

جب اس توسیع میں حوالہ جاتی شناخت موجود نہ ہو، تو جانچ ناکام ہو جاتی ہے چاہے پرانا عام نام مماثل ہو۔ سرٹیفکیٹ کسی کمپنی کو قانونی طور پر جاری کیا جا سکتا ہے اور پھر بھی vpn.example.com کے لیے غلط ہو سکتا ہے اگر نام کبھی شامل نہ کیا گیا ہو۔ ناکامی نام کی عدم مماثلت ہے، چاہے سرٹیفکیٹ اصل ہو۔

DNS نام اور IP پتے الگ اندراجات ہیں

ایسی پروفائل جو 203.0.113.10 کی طرف اشارہ کرتی ہے جبکہ سرٹیفکیٹ صرف vpn.example.com درج کرتا ہے، مسترد کر دی جاتی ہے، کیونکہ پیکٹ پہنچتے ہیں مگر شناخت مماثل نہیں۔ DNS نام اور لفظی پتے مختلف اندراج اقسام کے طور پر محفوظ ہوتے ہیں، اور ایک کبھی دوسرے کی جگہ نہیں لیتا۔ اسی لیے خدمت پتے کے ذریعے قابل رسائی ہو سکتی ہے اور پھر بھی اس پتے کو استعمال کرنے والی پروفائل کے ذریعے ناقابل استعمال ہو سکتی ہے۔

وائلڈ کارڈ بھی اپنے قواعد مانتے ہیں: ایک وائلڈ کارڈ ایک لیبل کو ڈھکتا ہے، ڈومین کے تحت ہر نام کو نہیں۔ DNS موازنہ حروفِ تہجی کے بڑے چھوٹے ہونے سے حساس نہیں، جبکہ دیگر شناخت کنندہ اقسام حساس ہیں، اس لیے اسکرین پر یکساں نظر آنے والی قدر سخت موازنہ میں ناکام ہو سکتی ہے۔ استعمال شدہ شناخت کی قسم کے لیے مماثلت کے قواعد دیکھیں، آنکھ سے رشتهوں کا موازنہ کرنے کے بجائے۔ توسیع میں نام شامل کرنا جاری کرنے کا فیصلہ ہے، ایسی چیز نہیں جو کلائنٹ کی ترتیب دے سکے۔

وہ سرٹیفکیٹ دیکھیں جو کنکشن نے واقعی استعمال کیا

انتظامی صفحے سے نقل کی گئی فائل نہیں، بلکہ زندہ اینڈ پوائنٹ کی پیش کردہ مواد پڑھیں۔ لوڈ بیلنسر یا متبادل انسٹانس مہینوں پہلے اپ لوڈ کیے گئے سرٹیفکیٹ سے کچھ مختلف پیش کر سکتا ہے، اور وہ فرق کنسول میں نظر نہیں آتا۔

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

موضوع کے متبادل ناموں کا بلاک، جاری کنندہ کی زنجیر اور درستگی کی مدت سب ایک ہی مطالعے سے تعلق رکھتے ہیں، کیونکہ نام کی عدم مماثلت اور میعاد ختم ہونا مختلف خرابیاں پیدا کرتے ہیں۔ اس بلاک کے ہر نام کا موازنہ پروفائل میں ترتیب کردہ شناخت سے حرف بہ حرف کریں اور نوٹ کریں کہ یہ کس قسم کا ہے۔ اینڈ پوائنٹ کی پتہ شکل کے خلاف کمانڈ دہرانے سے ظاہر ہوتا ہے کہ سرٹیفکیٹ دونوں شناختوں کو ڈھکتا ہے یا صرف ایک کو۔ انتظامی کنسول میں دوستانہ موضوع کی نمائش توثیق کا نتیجہ نہیں اور اس بارے میں کچھ نہیں کہتا کہ توسیع میں کون سے نام ہیں۔

عام نام جدید سچ کا ذریعہ نہیں

براؤزرز اور زیادہ تر TLS لائبریریاں اب ہوسٹ نام کی مماثلت کے لیے عام نام کو نظر انداز کرتی ہیں اور توسیع سے رجوع کرتی ہیں۔ کچھ VPN کلائنٹ اب بھی پہلے عام نام کا موازنہ کرتے ہیں یا توسیع نہ ہونے پر اسی کی طرف لوٹ جاتے ہیں، اور اسی طرح ایک سرٹیفکیٹ براؤزر میں کامیاب اور کلائنٹ میں ناکام ہو سکتا ہے۔ وہی نام کی جانچ ایک پلیٹ فارم پر کامیاب اور دوسرے پر ناکام ہو سکتی ہے، سرٹیفکیٹ میں کوئی تبدیلی نہ ہونے کے باوجود۔

یہ فیصلہ کرنے سے پہلے کہ سرٹیفکیٹ غلط ہے، معلوم کریں کہ آپ کا کلائنٹ کون سی فیلڈ پڑھتا ہے۔ ایک ہی اینڈ پوائنٹ پر دو کلائنٹ مختلف رائے رکھ سکتے ہیں، اور یہ اختلاف سرٹیفکیٹ کے بارے میں نہیں، کلائنٹ کے بارے میں معلومات ہے۔

جانچ نہیں، جاری کرنا یا پروفائل درست کریں

جب پروفائل کسی عرف کے گرد بنائی گئی ہو، تو یا اسے دستاویزی ہوسٹ نام کی طرف موڑ دیں یا عرف کے لیے سرٹیفکیٹ دوبارہ جاری کر کے منصوبہ بند وقت میں تعینات کریں۔ انتباہ کو خاموش کرنا تیسرا آپشن نہیں، کیونکہ جانچ ہی واحد قدم ہے جو دستخط شدہ سرٹیفکیٹ کو اسی مخصوص ہوسٹ سے باندھتا ہے۔ اسے ہٹانے کا مطلب ہے کہ اسی اتھارٹی کا کوئی بھی سرٹیفکیٹ اس سرور کی جگہ لے سکتا ہے جس تک آپ پہنچنا چاہتے تھے۔

تجدید کو مطلوبہ نام اور مقصد محفوظ رکھنے چاہئیں، نہ کہ صرف میعاد ختم ہونے کی تاریخ آگے بڑھانا۔ نام چھوڑ دینے والی تجدید اگلی دوبارہ شروعات کے لیے طے شدہ نئی رکاوٹ ہے، اور یہ عام طور پر بغیر انتباہ کے آتی ہے کیونکہ تبدیلی کے وقت پرانا سرٹیفکیٹ اب بھی کارآمد تھا۔

متوقع شناخت، پیش کیے گئے نام اور ان پر دستخط کرنے والی زنجیر درج کریں۔ وہ ریکارڈ اگلی تجدید کو تحقیق کے بجائے موازنہ بنا دیتا ہے۔ توسیع کی تعریف RFC 5280 میں ہے، اگر کسی مخصوص اجرا کی جانچ کرنی ہو۔