Hernude VPN-sertifikaat: sommige kliënte verwerp dit steeds

Die helfte van die omgewing koppel weer ná die hernuwing en drie toestelle weier, elkeen met 'n waarskuwing oor die poort se identiteit. Die hernuwing self is roetine. Wat daardie drie toestelle hou, is 'n pen na die ou objek, en 'n pen is nie 'n CA-lys, 'n naamkontrole of 'n trust store-inskrywing nie. Vergelyk die drie meganismes voordat jy enige kliënt aanraak.

Een hernuwing, twee gedragspatrone

Die kliënte wat weer koppel, het 'n vertrouebesluit wat steeds slaag, en die wat weier, het 'n vereiste waaraan die nuwe sertifikaat nie voldoen nie. Daardie verskil is inligting, nie geraas nie. Lees die foutende kliënt se boodskap presies. 'n Naamwanpassing, 'n onbekende uitreiker en 'n veranderde vingerafdruk is drie verskillende uitsprake, en net die laaste een wys na 'n pen.

Kontroleer ook watter profiel die foutende kliënt gekies het. 'n Ingevoerde kopie wat in sy eie store woon, verander nie wanneer die administrateur die oorspronklike lêer elders wysig nie.

Hernuwing vervang die objek, nie net die datum nie

'n Vingerafdruk identifiseer die geënkodeerde sertifikaatinhoud. Hernuwing lewer 'n nuwe sertifikaat, so die vingerafdruk verander selfs wanneer die subjeknaam en publieke sleutel identies bly. Dit is verwag en onskadelik vir kliënte wat 'n CA vertrou en die naam verifieer. Dit is noodlottig vir 'n kliënt wat ingestel is om presies een sertifikaat te aanvaar, en dit is ook noodlottig vir 'n kliënt wie se trust store nooit die nuwe uitreiker ontvang het nie.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Die tweede reël beantwoord 'n ander vraag: of die sleutelpaar oorleef het. 'n Hernuwing wat die sleutel hergebruik het, behou daardie waarde en verander net die sertifikaat, wat juis die geval is waar 'n administrateur in die versoeking kom om te aanvaar niks het verander nie. Inspekteer die sertifikaat wat ontplooi is, nie dié op die bougasheer nie. Om 'n lêer in 'n bewaarplek te vergelyk bewys wat gegenereer is, nie wat 'n luisteraar tans aanbied nie.

Lees waaraan die kliënt pen

Sommige kliënte hou 'n vingerafdruk in hul profiel en vergelyk dit by elke verbinding. Ander stoor dit in 'n platform-trust store, en nog ander maak net op 'n CA staat. Die herstel verskil in elke geval, so identifiseer eers die meganisme.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Die eerste opdrag wys 'n pen in 'n konvensionele profiel; die tweede wys die vingerafdruk wat die eindpunt op die oomblik werklik bedien. Wanneer daardie twee verskil, het jy die fout gevind sonder om te raai. Moenie die nuwe waarde in elke kliënt plak wat kla nie. 'n Kliënt wat op uitreiker-gronde weier, sal aanhou weier, en jy sal jouself geleer het dat die vingerafdruk die probleem was toe dit nie was nie.

Vergelyk die sertifikaat wat elke backend bedien

Wisselvallige resultate beteken gewoonlik meer as een eindpunt, en 'n hernuwing wat op een node toegepas is, laat die ander die ou objek aanbied. Vergelyk elke backend per adres eerder as per die gedeelde naam.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

'n Poel waar een node agter is, verduidelik 'n kliënt wat met die tweede poging koppel en met die eerste misluk. Dit verduidelik ook 'n moniteringskontrole wat slaag terwyl gebruikers kla. Maak eers die agterstand reg. Om die vertrouekonfigurasie te rol voordat elke node die nuwe sertifikaat bedien, skep 'n venster waarin niks werk, en om dit daarna te rol laat kliënte onvoorspelbaar misluk.

Verander vertroue deur die bestuurde pad

Bevestig die vervanging deur 'n reeds vertroude administratiewe kanaal voordat jy dit enige plek aanvaar. 'n Geloofwaardige vervaldatum is nie bewys van eienaarskap nie. Werk die bestuurde konfigurasie by deur watter proses dit ook al besit, met enige beplande oorvleueling van aanvaarbare identiteite, en behou die naamverifikasie wat die ontplooiing vereis. 'n Pen sonder 'n naamkontrole is 'n swakker ontwerp as die CA-vertroue wat dit vervang het.

Verifieer dan per kliënt: koppel, bevestig die identiteit wat dit aanvaar het, en noteer die sertifikaatweergawe wat dit nou vertrou. 'n Waarskuwing wat een keer weggewys is, het 'n manier om by die volgende hernuwing terug te keer.