Client VPN sertifikatının yenidən idxalı niyə yeni son nöqtə tələb edir

Client VPN bağlantısı qırılır, ACM-dəki sertifikat dəyişdirilir və heç nə dəyişmir. Sertifikat obyekti heç vaxt son nöqtənin istifadə etdiyi şey deyildi. Son nöqtə yaradılma zamanı sertifikata bir assosiasiya saxlayır; yoxlayacağı müştəri CA-sı, autentifikasiya növü, subnetlər və avtorizasiya qaydaları da onunla birlikdə saxlanılır və bu assosiasiyaların heç birində əvəzedici sertifikat qəbul edən dəyişdirmə çağırışı yoxdur. ARN-in arxasındakı baytları dəyişmək sertifikatda dəyişiklikdir, onu qeydə alan son nöqtədə yox.

Son nöqtə sertifikatları deyil, istinadları saxlayır

Mexanizmi dəqiq ifadə etməyə dəyər, çünki bütün nasazlığı elə bu izah edir. create-client-vpn-endpoint server sertifikatı ARN-i və müştəri kök sertifikat zənciri ARN-i alır və yaranan son nöqtə həmin istinadları autentifikasiya seçimləri ilə birlikdə sabit xassələr kimi saxlayır. API səthi mövcud son nöqtədə server sertifikatını dəyişən heç bir əməliyyat təklif etmir.

Bağlantını təxmin etmədən təsdiqləyə bilərsiniz. aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 sertifikat ARN-ini, müştəri kök zənciri ARN-ini, autentifikasiya növünü, müştəri CIDR-ini və əlaqəli subnetləri çap edir; bu, təkrar yaratmalı olduğunuz xassələrin tam toplusudur. Onu yenidən idxaldan əvvəl və sonra işə salın, çıxış yerindən tərpənməyəcək. Bu da yenidən idxalın heç vaxt kömək etməyəcəyinin sübutudur.

Niyə yenidən idxal son nöqtəyə çata bilmir

Yenidən idxal mövcud ARN altında yeni sertifikat gövdəsi yazır. Sertifikatın müddəti bitməyə yaxın olanda bu qanuni əməliyyatdır və ACM onu qəbul edəcək, bir şərtlə ki, şəxsi açar uyğun olsun və zəncir yoxlanılsın. Etmədiyi şey son nöqtənin yaradılma zamanı yoxlamasını yenidən işə salmaqdır, ona görə assosiasiya və arxasındakı material son nöqtə qurulanda necə idisə elə qalır.

Simptomun şəbəkə nasazlığı kimi görünməsinin səbəbi də budur. TLS handshake avtorizasiya heç qiymətləndirilməmişdən əvvəl uğursuz olur və ya sıfırlanır, ona görə təhlükəsizlik qrupları, marşrutlar və avtorizasiya qaydaları günahsız görünür, və elə günahsızdırlar.

Zəncir müştəri sertifikatının bir hissəsidir

Nasazlığın ikinci yarısı müştəri sertifikatındadır və onu qeydə almamaq daha asandır. Müştəri sertifikatı onu verən zəncirlə birlikdə idxal edilməlidir, baxmayaraq ki, idxal forması o sahəni istəyə bağlı kimi göstərir. Zəncir olmadan son nöqtə müştəri sertifikatından onunla konfiqurasiya edildiyi müştəri kök CA-sına yol qura bilmir və bağlantı paketləri atan firewall kimi görünən yumşaq sıfırlama ilə bitir. openssl verify -CAfile root-ca.pem client.crt bu suala yerli olaraq bir saniyəyə cavab verir və işə salacağınız ilk əmr bu olmalıdır.

Zəncirlə yenidən idxal həmin yarım üçün real düzəlişdir və yenə də tək başına kifayət etmir. ACM obyekti dəyişdikdən sonra köhnə assosiasiyanı saxlayan son nöqtə sınaqdan keçirməyə davam etmək üçün yanlış şeydir. Hər iki addım eyni təmirə aiddir, buna görə iki hissəli düzəliş ziddiyyət deyil.

Son nöqtəni yenidən yaratmaq miqrasiyadır

Əvəzedici son nöqtə yaratmaq miqrasiyadır, təkrar cəhd deyil və ona təkrar cəhd kimi yanaşmaq komandaların iki yarımkonfiqurasiya edilmiş son nöqtə ilə bitməsinin yoludur. Yeni son nöqtə yeni ID alır və bunu planlaşdırmamısınızsa, hər istifadəçi üçün yeni DNS adı alır. Müştəri profilini ünvana deyil, ada yönəltməkdə saxlayın ki, dəyişdirmə yenidən paylanma deyil, qeyd dəyişikliyi olsun.

Bunu təhlükəsiz saxlayan sıra qısadır: yeni son nöqtəni eyni CIDR, subnetlər və avtorizasiya qaydaları ilə yaradın, aws ec2 export-client-vpn-client-configuration ilə təzə profil ixrac edin və bir istifadəçi ilə yoxlayın. Yalnız bundan sonra köhnə son nöqtə söndürülür.

Köhnə son nöqtəni xidmətdən çıxarmağın öz sırası var. Silməzdən əvvəl xidmətdən çıxarmaq istədiyiniz müştəri sertifikatlarını ləğv edin, çünki köhnə CA-ya hələ də etibar edən yeni son nöqtə getdiyini düşündüyünüz sertifikatları qəbul etməyə davam edir. Sonra köhnə son nöqtəni silin və avtorizasiya qaydalarını çıxarın ki, köhnə profil bağlı olduğunu düşündüyünüz hədəf şəbəkəyə yenidən qoşula bilməsin. Köhnə son nöqtə ID-sini və assosiasiya identifikatorlarını dəyişiklik qeydinə yazın, çünki yaddaşla müqayisə edilən miqrasiya işlək son nöqtənin iki dəfə yenidən qurulmasının yoludur.

Diaqnozu sıralayın

Hər hansı konfiqurasiyanı dəyişməzdən əvvəl üç nasazlığı ayırın. Müştəri TLS-i tamamlaya bilmir, müştəri TLS-i tamamlayır və avtorizasiya olunmur, ya da müştəri qoşulur və təyinat yerinə çata bilmir. Sertifikat assosiasiyası birinciyə aiddir, müştəri ünvanını əhatə etməyən avtorizasiya qaydası ikinciyə aiddir, marşrut və ya təhlükəsizlik qrupu isə üçüncüyə aiddir, burada son nöqtəni yenidən yaratmaq demək olar ki, həmişə yanlış addımdır.

Aylarla işləyib sonra dayanan, sertifikat və ya siyasət dəyişikliyi olmayan son nöqtə ayrıca haldır. Onu eyni parametrlərlə yenidən qurmaq xidməti bərpa edə bilər, lakin bu, konfiqurasiyanı təkrar istehsal edilə bilən saxlamağa səbəbdir, hər hadisədə yenidən qurmağa səbəb deyil.

Növbəti yenidənqurmanın improvizasiya deyil, diff olması üçün dörd şeyi versiya nəzarətində saxlayın: son nöqtə parametrləri, sertifikat və zəncir ARN-ləri, avtorizasiya qaydaları və müştəri CIDR-i. Client VPN autentifikasiya sənədləşməsi hansı sertifikatın hansı rolu oynadığını sadalayır və sertifikatın ümumiyyətlə problem olduğunu fərz etməzdən əvvəl buna baxmağa dəyər. Yenidən idxal heç nəyi dəyişmirsə və son nöqtə hələ də sıfırlanırsa, şübhəli assosiasiyadır və cavab qeydə alınmış parametrlərdən qurulmuş yeni son nöqtədir. Son nöqtə yeni obyekti həqiqətən götürürsə, assosiasiya artıq düzgün idi və nasazlıq müştəri zəncirində və ya avtorizasiya qatındadır.