Certifg VPN wedi’i adnewyddu: mae rhai cleientiaid yn dal i’w wrthod

Mae hanner yr ystâd yn ailgysylltu ar ôl yr adnewyddiad ac mae tri dyfais yn gwrthod, pob un â rhybudd am hunaniaeth y giât. Mae’r adnewyddiad ei hun yn drefn arferol. Yr hyn y mae’r tri dyfais hynny yn ei ddal yw pin i’r hen wrthrych, ac nid yw pin yn rhestr CA, yn wiriad enw nac yn gofnod yn storfa ymddiriedaeth. Cymharwch y tri mecanwaith cyn cyffwrdd ag unrhyw gleient.

Un adnewyddiad, dau ymddygiad

Mae gan y cleientiaid sy’n ailgysylltu benderfyniad ymddiriedaeth sy’n dal i basio, ac mae gan y rhai sy’n gwrthod ofyniad nad yw’r certifg newydd yn ei fodloni. Gwybodaeth yw’r gwahaniaeth hwnnw, nid sŵn. Darllenwch neges y cleient sy’n methu yn fanwl. Mae anghysondeb enw, dyroddwr anhysbys a olion bys wedi newid yn dri dedfryd gwahanol, a dim ond yr olaf sy’n pwyntio at bin.

Gwiriwch hefyd pa broffil a ddewisodd y cleient sy’n methu. Nid yw copi mewnforio sy’n byw yn ei storfa ei hun yn newid pan fydd y gweinyddwr yn golygu’r ffeil wreiddiol yn rhywle arall.

Mae adnewyddiad yn disodli’r gwrthrych, nid y dyddiad yn unig

Mae olion bys yn nodi cynnwys codedig y certifg. Mae adnewyddiad yn cynhyrchu certifg newydd, felly mae’r olion bys yn newid hyd yn oed pan fydd enw’r pwnc a’r allwedd gyhoeddus yn aros yr un fath. Mae hynny’n ddisgwyliedig ac yn ddiniwed i gleientiaid sy’n ymddiried mewn CA ac yn gwirio’r enw. Mae’n angheuol i gleient sydd wedi’i ffurfweddu i dderbyn un certifg yn union, ac mae hefyd yn angheuol i gleient na chafodd ei storfa ymddiriedaeth y dyroddwr newydd erioed.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Mae’r ail linell yn ateb cwestiwn gwahanol: a wnaeth y pâr allweddol oroesi. Mae adnewyddiad a ailddefnyddiodd yr allwedd yn cadw’r gwerth hwnnw ac yn newid y certifg yn unig, sef yn union yr achos lle mae gweinyddwr yn cael ei demtio i dybio nad oes dim wedi newid. Archwiliwch y certifg sy’n cael ei ddefnyddio, nid yr un ar y gwesteiwr adeiladu. Mae cymharu ffeil mewn storfa yn profi beth a gynhyrchwyd, nid beth y mae gwrandawr yn ei gyflwyno ar hyn o bryd.

Darllenwch beth mae’r cleient yn ei binio

Mae rhai cleientiaid yn cadw olion bys yn eu proffil ac yn ei gymharu ar bob cysylltiad. Mae eraill yn ei storio mewn storfa ymddiriedaeth platfform, ac mae eraill eto yn dibynnu ar CA yn unig. Mae’r atgyweiriad yn wahanol ym mhob achos, felly nodwch y mecanwaith yn gyntaf.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Mae’r gorchymyn cyntaf yn dangos pin mewn proffil confensiynol; mae’r ail yn dangos yr olion bys y mae’r pwynt terfyn yn ei gyflwyno go iawn nawr. Pan fydd y ddau’n wahanol, rydych wedi lleoli’r methiant heb ddyfalu. Peidiwch â phasio’r gwerth newydd i bob cleient sy’n cwyno. Bydd cleient sy’n gwrthod ar sail y dyroddwr yn dal i wrthod, a byddwch wedi dysgu i chi’ch hun mai’r olion bys oedd y broblem pan nad oedd.

Cymharwch y certifg y mae pob backend yn ei gyflwyno

Mae canlyniadau ysbeidiol fel arfer yn golygu mwy nag un pwynt terfyn, ac mae adnewyddiad a gafodd ei gymhwyso i un nodyn yn gadael y lleill yn cyflwyno’r hen wrthrych. Cymharwch bob backend yn ôl cyfeiriad yn hytrach nag yn ôl yr enw a rennir.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Mae cronfa lle mae un nodyn yn llusgo yn esbonio cleient sy’n cysylltu ar yr ail gynnig ac yn methu ar y cyntaf. Mae hefyd yn esbonio gwiriad monitro sy’n pasio tra bod defnyddwyr yn cwyno. Trwsiwch y llusgo yn gyntaf. Mae rholio’r ffurfweddiad ymddiriedaeth cyn bod pob nodyn yn cyflwyno’r certifg newydd yn creu ffenestr lle nad oes dim yn gweithio, ac mae rholio ar ôl hynny yn gadael cleientiaid yn methu’n anrhagweladwy.

Newidiwch ymddiriedaeth drwy’r llwybr a reolir

Cadarnhewch y disodliad drwy sianel weinyddol sy’n cael ei hymddiried ynddi yn barod cyn ei dderbyn yn unrhyw le. Nid yw dyddiad dod i ben credadwy yn brawf perchnogaeth. Diweddarwch y ffurfweddiad a reolir drwy ba bynnag broses sy’n ei berchen, gydag unrhyw orgyffwrdd a gynlluniwyd o hunaniaethau derbyniol, a chadwch y gwiriad enw y mae’r defnydd yn ei ofyn. Mae pin heb wiriad enw yn ddyluniad gwannach na’r ymddiriedaeth CA y gwnaeth ei disodli.

Yna gwiriwch fesul cleient: cysylltwch, cadarnhewch yr hunaniaeth a dderbyniodd, a nodwch y fersiwn certifg y mae’n ymddiried ynddi nawr. Mae gan rybudd a wrthodwyd unwaith ffordd o ddychwelyd yn yr adnewyddiad nesaf.