1 votes

Rendre davfs2 capable d'accepter un certificat à joker (webDAV)

Je possède plusieurs serveurs qui partagent des fichiers via webDAV. Les connexions sont sécurisées avec TLS et le même certificat wildcard sur tous les serveurs. J'ai différents sous-domaines pointant vers les serveurs respectifs. Cependant, je ne parviens pas à faire accepter mes certificats wildcard par davfs2, il continue de se plaindre : /sbin/mount.davfs: le certificat du serveur ne correspond pas au nom du serveur

Donc par exemple, j'ai :

ServerA.mydomain.com ServerB.mydomain.com

ont tous un certificat qui couvre *.mydomain.com et un SAN pour mydomain.com

Tout fonctionne bien sûr si j'utilise mydomain.com pour webDAV car il est explicitement couvert dans le certificat.

Je pourrais ajouter tous mes sous-domaines en tant que SAN au certificat, mais je ne peux pas continuer à réémettre des certificats à chaque fois que je mets en place une machine (ou que j'en retire une).

Y a-t-il un moyen de faire accepter les certificats wildcard par davfs2 ?

1voto

Minos Points 1661

Le problème n'a en fait rien à voir avec la façon dont webDAV gère les caractères génériques, mais tout à voir avec la façon dont les extensions de certificat X509 sont gérées.

Il s'avère que le nom alternatif du sujet est une erreur de dénomination, selon RFC 5280 (section 4.2), une application DOIT rejeter toutes les extensions qu'elle ne reconnaît pas si elles sont marquées comme critiques (si elles sont marquées comme non critiques, elles PEUVENT être ignorées), mais si une application reconnaît une extension, elle DOIT l'utiliser.

Cela signifie que lorsque webDAV rencontre un SubjectAltName, il vérifie cela et seulement cela par rapport au nom du serveur. Le Common Name avec mon caractère générique est complètement ignoré. Le Subject Alternative Name ne fournit pas les noms alternatifs ou supplémentaires, il doit fournir TOUS les noms d'identification.

Ainsi, ajoutez tous les noms de domaine, y compris le caractère générique, dans le SAN.

SistemesEz.com

SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.

Powered by:

X