OpenVPN verify-x509-name: subject, name va name-prefix

Avval moslik turini, keyin matnni o'qing: verify-x509-name direktivasi to'g'ri ko'rinib, lekin ishonishni niyat qilmagan sertifikatni qabul qilishi mumkin. Kutilgan matni bir xil, ammo turlari boshqacha ikki qator ikki xil talabdir. Avval turni, keyin matnni o'qing. Direktivani ulanishga qo'shimcha shart deb biling, butun tekshiruv deb emas.

Variant aslida nimani tasdiqlaydi

Direktiva qarshi tomon sertifikati olib yurishi kerak bo'lgan shaxsni nomlaydi. Taqqoslash muvaffaqiyatsiz bo'lsa, OpenVPN qo'l berishni to'xtatadi va tunnel ko'tarilmaydi. Profildagi qolgan hamma narsa amal qiladi: sertifikat ishonchli CA ga zanjirlanashi kerak va rol tekshiruvi o'tishi kerak, shuning uchun bu qo'shimcha shart, o'rinbosar emas. Nom kutilmasini qanoatlantirib, rol tekshiruvidan o'tmagan profil ham buzilgan holda qoladi va jurnal odatda shuni aytadi.

Bu brauzer bajaradigan xost nomini tekshirishdan ham farq qiladi. Brauzer nomlarni o'z TLS stack qoidalariga ko'ra subject ning muqobil nomlari bilan moslashtiradi, OpenVPN esa sertifikatning bitta maydonini siz tanlagan tur bilan taqqoslaydi. Shuning uchun brauzer uslubidagi xost nomini direktivaga joylashtirish, sertifikat xizmatni haqiqatan qamrab olgan bo'lsa ham nomuvofiqlik keltirib chiqarishi mumkin.

subject: to'liq ajratuvchi nom, belgi-ba-belgi

Tur yozilmagan bo'lsa, standart subject bo'ladi va kutilgan qiymat sertifikatning to'liq subject DN ni qayta hosil qilishi kerak. Maydonlar tartibi, ajratgichlar, bo'shliqlar va escaping hammasi hisobga olinadi, chunki taqqoslash kodlangan satr bo'yicha boradi. Turni tashlab ketsangiz, uchta taqqoslashning eng qat'iyini tanlagansiz. Ko'rinishdagi farqni qutqaradigan normallashtirish qadami yo'q. Buni birinchi yangilashdan oldin bilish kerak, keyin emas.

Bu qat'iylik yangilashlar orasida nozik. Atributlarni qayta tartiblaydigan, qo'shimcha maydon kiritadigan yoki qiymatning escaping usulini o'zgartiradigan CA bir xil mashina uchun yangi satr hosil qiladi va yillar davomida ishlagan direktiva keyingi chiqarishda muvaffaqiyatsiz bo'la boshlaydi. Qabul qilingan DN ni o'zgartirish jurnalida saqlash keyingi yangilashni oddiy farqga aylantiradi. Operator to'liq DN e'lon qilib, uning shakliga kafolat bersa, subject o'rinli tanlov; boshqa joyda torroq maydonni haqiqatga mos saqlash osonroq.

name: bitta maydon, odatda umumiy nom

Tur name subject ning bitta maydonini taqqoslaydi. Profil boshqacha aytmasa, bu maydon umumiy nom bo'ladi va kutilgan qiymat aynan shu maydon, uning atrofidagi DN emas.

Muammo shundaki, zamonaviy sertifikatlar xizmat nomini har doim CN ga qo'yavermaydi. Ko'pchiligi uni subject ning muqobil nomida olib yuradi va CN ni bo'sh yoki umumiy qoldiradi, shuning uchun brauzer qabul qiladigan sertifikat ham bu taqqoslashdan o'tmay qolishi mumkin. Kutilmani yozishdan oldin sizga haqiqatan berilgan sertifikatni ko'zdan kechiring va profil qaysi maydonni tanlashini tasdiqlang. Bo'sh CN ni nom bilan taqqoslash nomuvofiqlik, konfiguratsiya hodisasi emas.

name-prefix: dizayni bo'yicha keng, shuning uchun doirani cheklang

Turi name-prefix kutilma tanlangan maydonning boshiga mos keladi. Bu nomlash sxemasi uchun qulay, har qanday umumiy narsa uchun xavfli.

Kutilma vpn.example bo'lsa, ikkalasi ham vpn.example.com va vpn.example.net o'tardi, zanjirning qolgan qismi ishonchli bo'lsa. Kenglik — bu xususiyat, va ayni paytda yozma asoslanishi kerak bo'lgan qism. Prefiks CA va nomlash sxemasi sizniki bo'lsa o'rinli, jamoat CA xuddi shu andozada chiqarsa ancha zaif. Sxemaga moslashuvchanlik kerak bo'lsa, mijoz tekshiruvini kengaytirish o'rniga uni CA da cheklang.

Turni identifikatordan tanlang, so'ng isbotlang

Operator ko'zda tutgan shaxsdan orqaga qarab ishlang. U to'liq DN e'lon qilib, uni barqaror saqlasa, subject buni ifodalaydi. Xizmatni umumiy nom bilan atasa, foydalaning name . Agar nomlash sxemasiga ega bo'lsa va uning butun fazosini qabul qilsa, name-prefix buni aniq aytadi.

Yangilashlar direktiva sinovdan o'tadigan joydir. Tasdiqlangan shaxsni eski fayl bilan emas, yangi sertifikat bilan taqqoslang, chunki yangi endpoint manzili yangi sertifikat shaxsini anglatmaydi. Faqat tanish manzil javob bermoqda deb direktivani o'chirmang: yetib borish va ko'zda tutilgan qarshi tomon ikki xil fakt , va manzil faqat biror narsa javob berganini isbotlaydi. Aniq xatoni va nomning ommaviy tafsilotlarini tozalangan hisobotga yozib qo'ying, chunki nom nomuvofiqligini hech qanday shaxsiy kalit materialisiz ko'rsatish mumkin.

Qo'llab-quvvatlangan tuzatishdan so'ng, barcha ko'zda tutilgan tekshiruvlar yoqilgan holda qayta ulanib, haqiqatan kerakli resursni tekshiring. Muvaffaqiyat ko'zda tutilgan server qabul qilinganini bildiradi, qandaydir sertifikat zo'rlab o'tkazilganini emas. Rasmiy qo'llanma OpenVPN 2.6 manual uch turni va ularning ishonch izohlarini hujjatlashtiradi va sotuvchi interfeysi profil bilan kelishmasa, iqtibos keltiriladigan manba shu.