Faça o davfs2 aceitar o certificado curinga (webDAV)

Question

Eu tenho vários servidores que compartilham arquivos via webDAV. As conexões são protegidas com TLS e o mesmo certificado de curinga em todos os servidores. Eu tenho diferentes subdomínios apontando para os respectivos servidores. No entanto, não consigo que o davfs2 aceite meus certificados de curinga, ele continua reclamando: /sbin/mount.davfs: the server certificate does not match the server name

Por exemplo, eu tenho:

  

ServerA.mydomain.com   ServerB.mydomain.com

todos têm certificado que abrange * .mydomain.com e uma SAN para mydomain.com

Tudo funciona bem, claro, se eu usar mydomain.com para o webDAV, porque esse é explicitamente coberto pelo certificado.

Eu poderia adicionar todos os meus subdomínios como SANs ao certificado, mas não posso continuar reemitindo os certificados toda vez que eu coloco uma máquina (ou faço uma down).

Existe alguma maneira de fazer o davfs2 aceitar certificados curinga?

    

Answer 1

O problema não tem nada a ver com o modo como o webDAV lida com curingas, mas tudo a ver com como as extensões de certificado X509 são tratadas.

Como se sabe, o nome alternativo de assunto é um nome impróprio, de acordo com a RFC 5280 (seção 4.2) um aplicativo deve rejeitar todas as extensões que ele não reconhece se elas forem marcadas como críticas (se elas forem marcadas como não críticas, elas PODEM ser ignoradas), mas se um aplicativo reconhecer uma extensão, ele DEVE ser usado.

O que isso significa é que, quando o webDAV encontra um SubjectAltName, ele verifica isso e apenas isso em relação ao nome do servidor. O nome comum com meu curinga é completamente ignorado. O Nome Alternativo do Assunto não fornece os nomes alternativos ou adicionais, deve fornecer TODOS os nomes de identificação.

Assim, coloque todos os nomes de domínio, incluindo o curinga, na SAN.