Greška web certifikata na Access Serveru: prazan CA paket

Prazna vrijednost ca_bundle ili oštećen PEM zaustavlja Admin sučelje. Provjerite certifikat, ključ i lanac kao jedan set prije restarta i ne dirajte VPN PKI.

Web stranica za prijavu koja se ne učitava dok se DNS ispravno razrješava obično nije DNS problem. Ako zapisnik usluge spominje prazan put do paketa certifikata ili neuspjeh parsiranja PEM za web certifikat i privatni ključ, HTTPS slušatelj nema upotrebljiv materijal i nikakvo razrješavanje imena neće pomoći. Popravka je u tri konfiguracijska ključa i ne zahtijeva ponovno izdavanje nijednog klijentskog certifikata VPN-a.

Na šta tri ključa zapravo pokazuju

Prilagođeni set web certifikata opisan je ključevima cs.cert, cs.priv_key i cs.ca_bundle. Svaki čuva put do datoteke, a sva tri web usluga koristi zajedno. Certifikat s pogrešnim ključem, ili datoteka lanca koja je zapravo završni certifikat, pada kao i prazna vrijednost: slušatelj ne može izgraditi lanac koji bi preglednik prihvatio.

Ovi ključevi pripadaju Admin i Client web sučelju. Oni su odvojeni od PKI koja izdaje certifikate VPN klijentima, pa zamjena ne zahtijeva diranje klijentskih profila, serverskog ključa ni certifikacijskog tijela. Smatrati web TLS kvar razlogom za ponovnu izgradnju cijele PKI najskuplji je pogrešan korak ovdje.

Jedna razlika štedi vrijeme: izričito prazna prilagođena vrijednost nije isto stanje kao odsustvo premoštenja. Prvo daje parseru prazan put, što zapisnik i kaže. Drugo ostavlja Access Server na vlastitom materijalu, zato neki hostovi nakon nadogradnje rade dobro, a drugi ne.

Zašto postojeća datoteka ipak ne prolazi parsiranje

Parser čita označene blokove unutar datoteke, ne ime datoteke. .crt koji sadrži privatni ključ, lanac zapisan kao jedna spojena cjelina gdje se očekivao jedan certifikat, ili datoteka s odrezanim zadnjim redom, sve se odbija. RFC 7468 definira te čitljive oznake zato što su one jedino što čitatelju kaže koja vrsta objekta slijedi.

Pregledajte objekte, ne ekstenzije. Na Linux hostu openssl x509 -noout -subject -issuer -in server.pem i openssl pkey -noout -check -in key.pem odgovaraju na dva važna pitanja, a poređenje modula ili javnog ključa obaju dokazuje da pripadaju zajedno. Držite izlaz privatnog ključa izvan tiketa i chat zapisa; provjeri treba otisak, ne ključ.

Prazan put zaslužuje isto nepovjerenje kao oštećena datoteka, jer oboje daju nejasne daljnje greške. Ako zapisnik kaže da je put paketa prazdan, pročitajte pohranjenu vrijednost prije nego što tražite grešku u datoteci.

Namjerno se vratite na rezervu

CLI Access Servera ima provjeru koja prima tri puta kao argumente i izvještava je li set upotrebljiv. Putevi ispod su primjeri; zamijenite ih zaštićenim lokacijama na hostu:

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Pročitajte rezultat prije nego dotaknete uslugu koja radi i tek onda uvezite vrijednosti i primijenite ih dokumentiranom operacijom za instaliranu verziju. službeni CLI tutorijal pokriva provjeru, uvoz u konfiguracijsku bazu i korak primjene, a njegova verzija je važnija od bilo kojeg sažetka.

Provjerite ime koje korisnici zaista upisuju

Kad je prilagođeni materijal pokvaren, a valjana ugrađena rezerva još postoji, dokumentirani oporavak je ukloniti tri prilagođena premoštenja i pustiti Access Server da koristi rezervu. Prvo osigurajte konzolni pristup i sigurnosnu kopiju trenutne konfiguracije, jer usluga koju ćete restartati poslužuje administrativno sučelje.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Brisanje cijele konfiguracijske baze nije popravka certifikata. Ciljajte ta tri ključa, primijenite i potvrdite da web sučelje odgovara. Samopotpisane datoteke u direktoriju web-ssl su rezervni resurs, ne radni prostor: prepisivanje ili ponovno generiranje može ukloniti jedini ispravan materijal.

Očekujte da će preglednik pokazati drugi certifikat nakon što rezerva stupi na snagu. To je ispravan ishod, a odgovor je provjeriti ga kroz pouzdan administrativni proces, ne učiti korisnike da preskaču svako upozorenje.

Oporavak završava tek nakon uspješne prijave

Oporavak nije završen kad se pojavi TCP slušatelj. Provjerite DNS ime, identitet certifikata i lanac za to ime, zatim učitajte Admin i Client web sučelje i dovršite prijavu. Provjera porta ne dokazuje ništa od toga.

Access Server 3.1 i noviji mogu posluživati različite web certifikate po SNI imenu hosta. Ako je to konfigurirano, zadani ključevi i unosi za pojedino ime su odvojeni setovi, a testiranje po IP adresi lako pokaže drugi certifikat od onoga koji korisnici dobiju. Popravite i provjerite set za ime koje je padalo, pa ponovite test prijave prije zatvaranja incidenta.

Povezani članci