Gwall tystysgrif gwe Access Server: trwsio^r bwndel CA gwag

Nid yw tudalen mewngofnodi gwe sy'n gwrthod llwytho tra bod DNS yn datrys yn gywir fel arfer yn broblem DNS. Os yw log y gwasanaeth yn sôn am lwybr bwndel tystysgrifau gwag neu fethiant dadansoddi PEM ar gyfer tystysgrif we a'r allwedd breifat, nid oes gan y gwrandawr HTTPS ddeunydd defnyddiadwy ac ni fydd unrhyw ddatrysiad enw yn helpu. Mae'r trwsiad mewn tair allwedd ffurfweddu, ac nid yw'n golygu ailddyroddi unrhyw dystysgrif cleient VPN.

At beth mae'r tair allwedd yn cyfeirio

Disgrifir y set dystysgrifau gwe addasedig gan cs.cert, cs.priv_key a cs.ca_bundle. Mae pob un yn storio llwybr i ffeil, ac mae'r gwasanaeth gwe yn eu defnyddio gyda'i gilydd. Mae tystysgrif gyda'r allwedd anghywir, neu ffeil gadwyn sydd mewn gwirionedd yn dystysgrif ddeilen, yn methu fel gwerth gwag: ni all y gwrandawr adeiladu cadwyn a fyddai porwr yn ei derbyn.

Mae'r allweddi hyn yn perthyn i ryngwyneb gwe Admin a Client. Maent ar wahân i'r PKI sy'n dyroddi tystysgrifau i gleientiaid VPN, felly nid yw eu disodli yn gofyn cyffwrdd â phroffiliau cleientiaid, allwedd y gweinydd na'r awdurdod tystysgrifau. Y cam gwallus drutaf yma yw trin diffyg TLS gwe fel rheswm i ailadeiladu'r PKI gyfan.

Mae un gwahaniaeth yn arbed amser: nid yw gwerth addasedig sy'n wag yn benodol yr un cyflwr â dim disodli o gwbl. Mae'r cyntaf yn rhoi llwybr gwag i'r parser, sef yr hyn mae'r llinell log yn ei ddweud. Mae'r ail yn gadael Access Server ar ei ddeunydd ei hun, a dyna pam mae rhai gwesteiwyr yn cychwyn yn iawn ar ôl diweddariad ac eraill ddim.

Pam mae ffeil sy'n bodoli yn dal i fethu dadansoddi

Mae'r parser yn darllen y blociau labelu y tu mewn i'r ffeil, nid enw'r ffeil. Mae .crt sy'n cynnwys allwedd breifat, cadwyn wedi'i hysgrifennu fel un bloc cyfun lle'r oeddid yn disgwyl un dystysgrif, neu ffeil wedi'i chadw gyda'r llinell olaf wedi'i thorri i gyd yn cael eu gwrthod. Mae RFC 7468 yn diffinio'r labeli darllenadwy hynny oherwydd mai nhw yw'r unig beth sy'n dweud wrth y darllenydd pa fath o wrthrych sy'n dilyn.

Archwiliwch y gwrthrychau, nid yr estyniadau. Ar westai Linux mae openssl x509 -noout -subject -issuer -in server.pem a openssl pkey -noout -check -in key.pem yn ateb y ddau gwestiwn sy'n bwysig, ac mae cymharu modwlws neu allwedd gyhoeddus y ddau yn profi eu bod yn perthyn gyda'i gilydd. Cadwch allbwn yr allwedd breifat allan o docynnau a logiau sgwrs; mae angen ôl-bys ar y gwiriad, nid yr allwedd.

Mae llwybr gwag yn haeddu'r un amheuaeth â ffeil ddiffygiol, oherwydd mae'r ddau yn cynhyrchu gwallau diweddarach annelwig. Os yw'r log yn dweud bod llwybr y bwndel yn wag, darllenwch y gwerth a storwyd cyn dadfygio'r ffeil.

Dychwelyd at y cefn yn fwriadol

Mae CLI Access Server yn cynnwys gwiriad dilysu sy'n cymryd y tri llwybr fel dadleuon ac yn adrodd a yw'r set yn ddefnyddiadwy. Mae'r llwybrau isod yn enghreifftiol; disodlwch nhw gyda'r lleoliadau gwarchodedig ar y gwesteiwr:

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Darllenwch y canlyniad cyn cyffwrdd â'r gwasanaeth sy'n rhedeg, ac yna'n unig mewnforiwch y gwerthoedd a'u cymhwyso drwy'r llawdriniaeth a ddogfennwyd ar gyfer y fersiwn sydd wedi'i osod. Mae diwtorial CLI swyddogol yn ymdrin â dilysu, mewnforio i'r gronfa ffurfweddu a'r cam cymhwyso, ac mae ei fersiwn yn bwysicach nag unrhyw grynodeb ohono.

Gwirio'r enw mae defnyddwyr yn ei deipio

Pan fo'r deunydd addasedig wedi torri ac mae cefn dilys wedi'i adeiladu i mewn yn dal i fod, yr adferiad dogfennedig yw tynnu'r tri disodli addasedig a gadael i Access Server ddefnyddio'r cefn hwnnw. Trefnwch fynediad consol a chopi wrth gefn o'r ffurfweddiad presennol yn gyntaf, oherwydd y gwasanaeth rydych ar fin ei ailgychwyn sy'n gwasanaethu'r rhyngwyneb gweinyddu.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Nid yw clirio'r gronfa ffurfweddu gyfan yn drwsiad tystysgrif. Targedwch y tair allwedd hynny, cymhwyswch, a chadarnhewch fod y rhyngwyneb gwe yn ateb. Mae'r ffeiliau hunanlofnodol o dan y cyfeiriadur web-ssl yn adnodd cefn, nid yn ofod gwaith: gall eu trosysgrifo neu eu hailgynhyrchu ddileu'r unig ddeunydd sy'n gweithio.

Disgwyliwch i'r porwr ddangos tystysgrif wahanol ar ôl i'r cefn ddod i rym. Dyna'r canlyniad cywir, a'r ateb yw ei wirio drwy eich proses weinyddol ddibynadwy, nid dysgu defnyddwyr i glicio drwy bob rhybudd.

Mae adferiad yn gorffen ar ôl mewngofnodi llwyddiannus

Nid yw adferiad wedi gorffen pan fydd gwrandawr TCP yn ymddangos. Dilyswch yr enw DNS, hunaniaeth y dystysgrif a'r gadwyn ar gyfer yr enw hwnnw, yna llwythwch ryngwyneb gwe Admin a Client a chwblhewch fewngofnodi. Nid yw gwiriad porth yn profi'r un o'r rheini.

Gall Access Server 3.1 a hwy hefyd wasanaethu tystysgrifau gwe gwahanol fesul enw gwesteiwr SNI. Os yw hynny wedi'i ffurfweddu, mae'r allweddi rhagosodedig a'r cofnodion penodol i enw yn setiau ar wahân, ac mae profi drwy gyfeiriad IP yn hawdd yn dangos tystysgrif wahanol i'r un mae defnyddwyr yn ei chael. Trwsiwch a dilyswch y set ar gyfer yr enw a oedd yn methu, yna ailadroddwch y prawf mewngofnodi cyn cau'r digwyddiad.