Obnovený certifikát VPN: někteří klienti jej stále odmítají

Polovina prostředí se po obnově znovu připojí a tři zařízení odmítají, každé s varováním o identitě brány. Samotná obnova je rutina. To, co tato tři zařízení drží, je pin na starý objekt, a pin není seznam CA, kontrola názvu ani záznam v úložišti důvěry. Porovnejte tři mechanismy, než se dotknete kteréhokoli klienta.

Jedna obnova, dvě chování

Klienti, kteří se znovu připojí, mají rozhodnutí o důvěře, které stále prochází, a ti, kteří odmítají, mají požadavek, který nový certifikát nesplňuje. Ten rozdíl je informace, ne šum. Přečtěte si zprávu selhávajícího klienta přesně. Neshoda názvu, neznámý vystavitel a změněný otisk jsou tři různé verdikty a jen poslední ukazuje na pin.

Zkontrolujte také, který profil selhávající klient zvolil. Importovaná kopie, která žije ve vlastním úložišti, se nemění, když správce upraví původní soubor jinde.

Obnova nahrazuje objekt, ne jen datum

Otisk identifikuje zakódovaný obsah certifikátu. Obnova vytváří nový certifikát, takže otisk se změní, i když název subjektu a veřejný klíč zůstanou totožné. To je očekávané a neškodné pro klienty, kteří důvěřují CA a ověřují název. Je to fatální pro klienta nastaveného přijímat přesně jeden certifikát a je to také fatální pro klienta, jehož úložiště důvěry nikdy nedostalo nového vystavitele.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Druhý řádek odpovídá na jinou otázku: zda pár klíčů přežil. Obnova, která klíč znovu použila, zachovává tuto hodnotu a mění jen certifikát, což je právě případ, kdy správce svádí předpokládat, že se nic nezměnilo. Prohlédněte si certifikát, který je nasazen, ne ten na build hostiteli. Porovnání souboru v repozitáři dokazuje, co bylo vygenerováno, ne co posluchač právě teď předkládá.

Přečtěte si, co klient pinuje

Někteří klienti drží otisk ve svém profilu a porovnávají jej při každém připojení. Jiní jej ukládají do platformního úložiště důvěry a další se spoléhají jen na CA. Oprava se v každém případě liší, proto nejprve určete mechanismus.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

První příkaz ukazuje pin v konvenčním profilu; druhý ukazuje otisk, který koncový bod právě teď skutečně servíruje. Když se tyto dva liší, lokalizovali jste poruchu bez hádání. Nevkládejte novou hodnotu do každého klienta, který si stěžuje. Klient odmítající kvůli vystaviteli bude odmítat dál a vy jste se naučili, že problémem byl otisk, když nebyl.

Porovnejte certifikát, který servíruje každý backend

Přerušované výsledky obvykle znamenají více než jeden koncový bod a obnova aplikovaná na jeden uzel nechává ostatní předkládat starý objekt. Porovnávejte každý backend podle adresy, ne podle sdíleného názvu.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Fond, kde jeden uzel zaostává, vysvětluje klienta, který se připojí na druhý pokus a selže na první. Vysvětluje také monitorovací kontrolu, která prochází, zatímco si uživatelé stěžují. Nejprve opravte zaostávání. Rozvádění konfigurace důvěry předtím, než každý uzel servíruje nový certifikát, vytváří okno, ve kterém nic nefunguje, a rozvádění potom nechává klienty selhávat nepředvídatelně.

Změňte důvěru spravovanou cestou

Potvrďte náhradu přes již důvěryhodný administrativní kanál, než ji kdekoli přijmete. Věrohodné datum vypršení není důkazem vlastnictví. Aktualizujte spravovanou konfiguraci procesem, který ji vlastní, s případným plánovaným překryvem přijatelných identit, a zachovejte ověření názvu, které nasazení vyžaduje. Pin bez kontroly názvu je slabší design než důvěra v CA, kterou nahradil.

Poté ověřte u každého klienta: připojte se, potvrďte identitu, kterou přijal, a poznamenejte verzi certifikátu, které nyní důvěřuje. Varování jednou odmítnuté má ve zvyku vrátit se při příští obnově.