Mavzuning muqobil nomlari: VPN serveri qanday aniqlanadi

Mijozingiz zanjiri toza tekshiriladigan sertifikatni rad etadi va xato nom mos kelmasligini aytadi. Bu xabar sertifikatni kim imzolaganligi haqida emas. U sertifikat vakillik qilishga ruxsat etilgan identifikatsiyalarni olib yuruvchi mavzuning muqobil nomlari kengaytmasi va siz sozlagan identifikatsiya u yerda to'g'ri shaklda ko'rinishi haqida. Ishonch kim imzolaganiga javob beradi, nom tekshiruvi esa u qaysi xostga tegishli ekaniga javob beradi.

Mijoz aslida nimani taqqoslaydi

Mijoz sozlamalaringizni mos yozuvlar identifikatsiyasiga aylantiradi: xost nomi, manzil yoki protokolga xos identifikator. So'ngra u sertifikatdan shu identifikatsiyani qidiradi va ishlatilayotgan protokolning moslik qoidalarini qo'llaydi. Faqat bir xil turdagi yozuvlar hisobga olinadi, shuning uchun DNS yozuvi manzilni qanoatlantira olmaydi va taqqoslash kimdir sertifikatga qarashidan qat'i nazar amalga oshiriladi.

Agar o'sha kengaytmada mos yozuvlar identifikatsiyasi bo'lmasa, eski umumiy nom mos kelsa ham tekshiruv muvaffaqiyatsiz bo'ladi. Sertifikat kompaniyaga qonuniy ravishda berilishi mumkin va nom hech qachon kiritilmagan bo'lsa, vpn.example.com uchun baribir noto'g'ri bo'ladi. Sertifikat haqiqiy bo'lsa ham, muvaffaqiyatsizlik nomning mos kelmasligidir.

DNS nomlari va IP manzillari alohida yozuvlar

203.0.113.10 ga ishora qiluvchi profil, sertifikat faqat vpn.example.com ro'yxatini bersa, rad etiladi, chunki paketlar yetib keladi, lekin identifikatsiya mos kelmaydi. DNS nomlari va so'zma-so'z manzillar turli yozuv turlari sifatida saqlanadi va biri hech qachon ikkinchisining o'rnini bosmaydi. Shuning uchun xizmat manzil orqali yetib borish mumkin bo'lsa ham, shu manzilni ishlatadigan profil orqali foydalanib bo'lmaydigan bo'lishi mumkin.

Joker belgilar ham o'z qoidalariga bo'ysunadi: joker bitta yorliqni qamrab oladi, domen ostidagi har bir nomni emas. DNS taqqoslash katta-kichik harfga sezgir emas, boshqa identifikator turlari esa sezgir, shuning uchun ekranda bir xil ko'rinadigan qiymat qattiq taqqoslashda muvaffaqiyatsiz bo'lishi mumkin. Ishlatilayotgan identifikatsiya turi uchun moslik qoidalarini tekshiring, satrlarni ko'z bilan taqqoslash o'rniga. Kengaytmaga nom qo'shish chiqarish qarori, mijoz sozlamasi bera oladigan narsa emas.

Ulanish aslida ishlatgan sertifikatni tekshiring

Administratsiya sahifasidan nusxa olingan faylni emas, jonli oxirgi nuqta taqdim etgan materialni o'qing. Yuk muvozanatlagichi yoki zaxira nusxa oylar oldin yuklangan sertifikatdan boshqacha narsani taqdim etishi mumkin va bu farq konsolda ko'rinmaydi.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Mavzuning muqobil nomlari bloki, beruvchi zanjiri va amal qilish muddati bir o'qishga tegishli, chunki nomning mos kelmasligi va muddat tugashi turli xatolarni keltiradi. O'sha blokdagi har bir nomni profilda sozlangan identifikatsiya bilan harfma-harf taqqoslang va u qaysi turga tegishli ekanini qayd eting. Buyruqni oxirgi nuqtaning manzil shakliga qarshi takrorlash sertifikat ikkala identifikatsiyani qamrab oladimi yoki faqat bittasini ko'rsatadi. Boshqaruv konsolidagi do'stona mavzu ko'rinishi tekshiruv natijasi emas va kengaytma qaysi nomlarni o'z ichiga olishi haqida hech narsa aytmaydi.

Umumiy nom zamonaviy haqiqat manbai emas

Brauzerlar va aksariyat TLS kutubxonalari endi xost nomini moslashtirish uchun umumiy nomni e'tiborsiz qoldiradi va kengaytmaga murojaat qiladi. Ba'zi VPN mijozlari hali ham avval umumiy nomni taqqoslaydi yoki kengaytma bo'lmaganda unga qaytadi, shu sababli bitta sertifikat brauzerda o'tib, mijozda muvaffaqiyatsiz bo'lishi mumkin. Xuddi shu nom tekshiruvi sertifikat umuman o'zgarmasa ham bir platformada o'tib, boshqasida muvaffaqiyatsiz bo'lishi mumkin.

Sertifikat noto'g'ri deb qaror qilishdan oldin mijozingiz qaysi maydonni o'qishini aniqlang. Bir oxirgi nuqtadagi ikki mijoz kelisha olmasligi mumkin va bu kelishmovchilik sertifikat haqida emas, mijoz haqida ma'lumot.

Tekshiruvni emas, chiqarishni yoki profilni tuzating

Profil taxallus atrofida qurilgan bo'lsa, uni hujjatlashtirilgan xost nomiga qayta yo'naltiring yoki taxallus uchun sertifikatni qayta chiqarib, rejalashtirilgan oynada joylashtiring. Ogohlantirishni jim qilish uchinchi variant emas, chunki tekshiruv imzolangan sertifikatni aynan shu xostga bog'laydigan yagona qadamdir. Uni olib tashlash bir xil organning istalgan sertifikati siz erishmoqchi bo'lgan serverning o'rnini egallashi mumkinligini bildiradi.

Yangilash ko'zda tutilgan nomlar va maqsadni saqlab qolishi kerak, faqat amal qilish muddatini oldinga surish emas. Nomni yo'qotadigan yangilash keyingi qayta ishga tushirishga rejalashtirilgan yangi uzilishdir va o'zgartirish kiritilganda eski sertifikat hali amalda bo'lgani uchun odatda ogohlantirishsiz keladi.

Kutilgan identifikatsiyani, taqdim etilgan nomlarni va ularni imzolagan zanjirni yozib oling. Bu yozuv keyingi yangilanishni tekshiruv emas, taqqoslashga aylantiradi. Kengaytma ta'rifi RFC 5280 hujjatida, agar muayyan chiqarishni tekshirish kerak bo'lsa.