Yenilənmiş VPN sertifikatı: bəzi müştərilər onu hələ də rədd edir

Yeniləmədən sonra parkın yarısı yenidən qoşulur, üç cihaz isə şlüzün identikliyi barədə xəbərdarlıqla imtina edir. Yeniləmənin özü rutindir. O üç cihazın saxladığı şey köhnə obyektə pindir və pin CA siyahısı, ad yoxlaması və ya etimad anbarı qeydi deyil. Hər hansı müştəriyə toxunmazdan əvvəl üç mexanizmi müqayisə edin.

Bir yeniləmə, iki davranış

Yenidən qoşulan müştərilərdə hələ də keçən etimad qərarı var, imtina edənlərdə isə yeni sertifikatın ödəmədiyi tələb var. Bu fərq səs-küy deyil, məlumatdır. Uğursuz müştərinin mesajını dəqiq oxuyun. Ad uyğunsuzluğu, naməlum buraxan və dəyişmiş barmaq izi üç fərqli hökmdür və yalnız sonuncusu pinə işarə edir.

Həmçinin uğursuz müştərinin hansı profil seçdiyini yoxlayın. Öz anbarında yaşayan idxal edilmiş surət, administrator orijinal faylı başqa yerdə redaktə etdikdə dəyişmir.

Yeniləmə yalnız tarixi deyil, obyekti əvəz edir

Barmaq izi kodlanmış sertifikat məzmununu müəyyən edir. Yeniləmə yeni sertifikat yaradır, buna görə subyekt adı və açıq açar eyni qalsa da barmaq izi dəyişir. Bu, CA-ya etimad edən və adı yoxlayan müştərilər üçün gözlənilən və zərərsizdir. Dəqiq bir sertifikatı qəbul etməyə konfiqurasiya edilmiş müştəri üçün ölümcüldür və etimad anbarı yeni buraxanı heç vaxt almamış müştəri üçün də ölümcüldür.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

İkinci sətir başqa suala cavab verir: açar cütünün qalıb-qalmadığına. Açarı təkrar istifadə edən yeniləmə həmin dəyəri saxlayır və yalnız sertifikatı dəyişir ki, bu da administratorun heç nəyin dəyişmədiyini güman etməyə meylləndiyi haldır. Yerləşdirilmiş sertifikatı yoxlayın, qurma hostundakını deyil. Repozitoriyadakı faylı müqayisə etmək nəyin yaradıldığını sübut edir, dinləyicinin hazırda nə təqdim etdiyini deyil.

Müştərinin nəyi pinlədiyini oxuyun

Bəzi müştərilər barmaq izini profillərində saxlayır və hər bağlantıda müqayisə edir. Digərləri onu platforma etimad anbarında saxlayır, başqaları isə yalnız CA-ya güvənir. Təmir hər halda fərqlidir, ona görə əvvəlcə mexanizmi müəyyən edin.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Birinci əmr şərti profildə pini göstərir; ikincisi son nöqtənin hazırda həqiqətən təqdim etdiyi barmaq izini göstərir. Bu ikisi fərqlənəndə, təxmin etmədən nasazlığı tapmısınız. Yeni dəyəri şikayət edən hər müştəriyə yapışdırmayın. Buraxan səbəbindən imtina edən müştəri imtina etməyə davam edəcək və siz özünüzə barmaq izinin problem olduğunu öyrətmiş olacaqsınız, halbuki deyildi.

Hər backend-in təqdim etdiyi sertifikatı müqayisə edin

Aralıqlı nəticələr adətən birdən çox son nöqtə deməkdir və bir node-a tətbiq edilən yeniləmə digərlərini köhnə obyekti təqdim etməklə qoyub gedir. Hər backend-i ümumi adla deyil, ünvanla müqayisə edin.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Bir node-un geri qaldığı hovuz ikinci cəhddə qoşulan və birincidə uğursuz olan müştərini izah edir. İstifadəçilər şikayət edərkən keçən monitorinq yoxlamasını da izah edir. Əvvəlcə geriliyi düzəldin. Hər node yeni sertifikatı təqdim etməzdən əvvəl etimad konfiqurasiyasını yaymaq heç nənin işləmədiyi pəncərə yaradır, sonra yaymaq isə müştəriləri gözlənilməz şəkildə uğursuz qoyur.

Etimadı idarə olunan yolla dəyişin

Əvəzləməni hər yerdə qəbul etməzdən əvvəl artıq etimad edilən inzibati kanalla təsdiqləyin. İnandırıcı bitmə tarixi sahiblik sübutu deyil. İdarə olunan konfiqurasiyanı ona sahib olan hansı proses varsa, onunla yeniləyin, məqbul identikliklərin planlaşdırılmış üst-üstə düşməsi ilə və yerləşdirmənin tələb etdiyi ad yoxlamasını saxlayın. Ad yoxlaması olmayan pin, əvəz etdiyi CA etimadından daha zəif dizayndır.

Sonra hər müştəri üzrə yoxlayın: qoşulun, qəbul etdiyi identikliyi təsdiqləyin və indi etimad etdiyi sertifikat versiyasını qeyd edin. Bir dəfə rədd edilən xəbərdarlıq növbəti yeniləmədə qayıtmağın yolunu tapır.