SoftEther ServerCertSet: mewnforio'r gadwyn wedi'i hadnewyddu gyda vpncmd

Mae Certbot yn adrodd am adnewyddiad llwyddiannus, mae'r ffeiliau ar y disg yn cario dyddiadau newydd, ac mae cleientiaid yn dal i gyfarfod â'r hen hunaniaeth. Mae SoftEther yn cadw ei dystysgrif SSL gweinydd yn ei ffurfweddiad ei hun ar lefel gweinydd, felly nid yw ffeil newydd ar y disg yn newid dim nes bod y ddalen a'i allwedd wedi'u mewnforio. Mae'r dilyniant isod yn cwmpasu un mewnforiad â llaw, sgript lapio sy'n rhedeg ar ôl pob adnewyddiad, a gwiriad sy'n darllen yr hyn y mae'r gwrandäwr yn ei gyflwyno mewn gwirionedd. Mae pob cam yn gadael tystiolaeth y gallwch ei chymharu ar ôl yr adnewyddiad nesaf.

Nid yw ffeil wedi'i hadnewyddu yn newid hunaniaeth y gweinydd

Mae cyhoeddi a defnyddio yn ddigwyddiadau ar wahân â dulliau methu ar wahân. Mae'r cleient ACME yn ysgrifennu ffeiliau i gyfeiriadur llinach ac yn cofnodi llwyddiant; mae SoftEther yn parhau i ddefnyddio pa bynnag dystysgrif a lwythwyd ddiwethaf i'w ffurfweddiad. Felly mae statws gadael sero yn disgrifio'r ffeiliau, nid y gwasanaeth, a gall y ddau anghytuno cyhyd ag nad oes neb yn edrych. Triniwch y mewnforiad fel cam y defnyddio a'r adnewyddiad fel ei fewnbwn.

Mae'r gwahaniaeth hwnnw hefyd yn egluro'r hanner-methiant dryslyd: mae'r hen dystysgrif yn parhau i weithio hyd ei dyddiad dod i ben, felly nid oes dim yn ymddangos yn doredig ar y dechrau. Pan ddaw i ben, mae pob cleient yn methu ar unwaith, sy'n edrych fel toriad yn hytrach na cham defnyddio wedi'i hepgor. Mae gwirio'r hunaniaeth a gyflwynir ar ôl pob adnewyddiad yn troi'r syndod hwnnw yn arsylwad arferol.

Dewiswch yr her sy'n addas i'r gwrandäwr

Rhaid i'r dystysgrif enwi'r lletywr sy'n cael ei wirio gan gleientiaid, felly defnyddiwch yr enw DNS cyhoeddus yn hytrach na label mewnol neu gyfeiriad. Mae HTTP-01 angen i'r her gael ei hateb ar borth 80 am eiliad, sef gwrandäwr dros dro ac nid yw byth yn rheswm i symud porth SoftEther ei hun. Mae DNS-01 yn profi rheolaeth trwy gofnod ac nid oes angen unrhyw HTTP mewnol o gwbl.

Mae adnewyddiad heb oruchwyliaeth yn golygu integreiddiad DNS awtomatig â chymwysterau wedi'u cyfyngu i un parth, nid cofnod TXT a deipiwyd â llaw bob dau fis. Mae wildcard yn newid math yr her, nid yr angen am y modd awtomatig hwnnw. Penderfynwch hyn cyn bod y dystysgrif gyntaf, oherwydd mae newid math yr her yn ddiweddarach yn golygu cyffwrdd â ffurfweddiad y cleient a'r wal dân gyda'i gilydd.

Cadwch yr arteffactau'n daclus tra byddwch yma. Mae'r ddalen a'r canolraddau yn cyrraedd fel ffeiliau ar wahân ac fel un ffeil gadwyn gyfunol, mae'r allwedd breifat ar wahân eto, ac mae angen y gadwyn gyda'i hallwedd gyfatebol ar y mewnforiad, nid tystysgrif gyhoeddus ar ei phen ei hun.

Mewnforiwch y gadwyn ar lefel gweinydd

Gwnewch gopi wrth gefn o ffurfweddiad y gweinydd a chadarnhewch y gallwch gyrraedd y rhyngwyneb rheoli o hyd cyn cyffwrdd â'r dystysgrif. Cysylltwch fel gweinyddwr gweinydd yn hytrach na gweinyddwr Virtual Hub, oherwydd mae'r dystysgrif yn perthyn i wrthrych y gweinydd. Yna llwythwch y gadwyn a'r allwedd ar lwybr absoliwt, o ffeiliau y gall y cyfrif sy'n rhedeg y gorchymyn eu darllen. Sylwch fod y llwybrau'n absoliwt oherwydd bod y gorchymyn yn eu datrys o gyfeiriadur gwaith pa bynnag broses a redodd vpncmd:

ServerCertSet /LOADCERT:/etc/letsencrypt/live/vpn.example.com/fullchain.pem /LOADKEY:/etc/letsencrypt/live/vpn.example.com/privkey.pem

Darllenwch allbwn y gorchymyn yn hytrach na thybio llwyddiant, ac yna darllenwch y gadwyn yn ôl yn hytrach nag ymddiried yn y ffeil a basiwyd gennych. Nid yw'r ffin rhwng adeilediadau sy'n mewnforio bwndel PEM cyfan ac adeilediadau nad ydynt yn cymryd ond y dystysgrif gyntaf wedi'i dogfennu mewn un man, felly'r gwiriad sy'n penderfynu hynny ar gyfer yr adeilediad o'ch blaen. Cyfrifwch y tystysgrifau y mae'r gwrandäwr yn eu cyflwyno; mae dalen heb ganolraddau yn arwydd mewnforiwr na ddefnyddiodd ond y bloc cyntaf.

Cadwch yr allwedd a fewnforiwyd yn ddarllenadwy'n unig i'r cyfrif sy'n rhedeg y gweinydd, a chadwch y cyfrinair rheoli allan o hanes y plisgyn. Ar gyfer y mewnforiad cyntaf hwn, teipiwch y cyfrinair wrth y pryd drwy hytrach na'i basio fel dadl gorchymyn. Nid yw'r ddau arferiad yn costio dim ac maent yn dileu'r ffordd fwyaf cyffredin y mae defnyddio tystysgrif yn gollwng rhywbeth y dylai fod wedi'i warchod. Gwnewch hynny cyn y mewnforiad cyntaf, nid ar ei ôl.

Cysylltwch y defnyddio, nid yr adnewyddiad

Unwaith y bydd y mewnforiad â llaw yn gweithio, rhowch yr union gamau hynny mewn sgript lapio fach a'i galw o'r cleient ACME ar ôl adnewyddiad llwyddiannus. Mae Certbot yn gosod RENEWED_LINEAGE a RENEWED_DOMAINS ar gyfer y bachyn, felly gall y sgript lapio weithredu ar un dystysgrif ar beiriant sy'n rheoli sawl un. Hidlwch ar y llinach yn hytrach nag ymateb i bob adnewyddiad ar y lletywr. Mae'r sgript lapio yn god defnyddio sy'n rhedeg â breintiau'r gweinydd, felly adolygwch ef fel unrhyw sgript arall yn y swydd honno.

certbot renew --deploy-hook /usr/local/sbin/softether-deploy.sh

Mae bachyn sy'n rhedeg heb oruchwyliaeth angen ei storfa gymwysterau warchodedig ei hun a signal methiant sy'n cyrraedd dyn. Os yw cyhoeddi'n llwyddo ac mae'r mewnforiad yn methu, ceisiwch y mewnforiad eto yn hytrach na gofyn am dystysgrif arall, oherwydd mae ail gais yn cuddio'r diffyg defnyddio y tu ôl i ffeil newydd. Mae dogfennaeth adnewyddu Certbot yn glir bod rhediad nad yw'n diweddaru dim yn ganlyniad arferol, felly'r bachyn sy'n gwahaniaethu rhwng y ddau.

Cymharwch y gadwyn a gyflwynir â'r ffeil

Darllenwch y gwrandäwr, nid y disg. Cysylltwch â'r porth sy'n wynebu cleientiaid gyda'r enw gweinydd y mae cleientiaid yn ei ddefnyddio, yna cymharwch yr ôl troed a'r gadwyn a ddanfonwyd â'r llinach a osodwyd gan y bachyn. Mae dau orchymyn yn cwmpasu hyn, ac mae'r cyntaf hefyd yn dangos a yw canolraddau'n cyrraedd o gwbl:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | grep -c 'BEGIN CERTIFICATE'
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -fingerprint -sha256

Yna gwnewch gysylltiad cleient newydd, oherwydd mae sesiynau a sefydlwyd cyn y mewnforiad wedi'u dilysu yn erbyn yr hunaniaeth flaenorol ac nid ydynt yn profi dim am yr un newydd. Os yw cleientiaid yn pinio'r hen ddalen, maent angen diweddariad cydlynol hyd yn oed pan fo'r gadwyn gyhoeddus yn ddilys, ac mae'r dasg honno'n perthyn i'r un llyfr rhedeg â'r adnewyddiad. Gall dirprwy gwrthdro o flaen y gwasanaeth gyflwyno tystysgrif dda tra bod gwrandäwr VPN yn dal yr hen un, a dyna pam mae'n rhaid i'r gwiriad enwi'r porth y mae cleientiaid yn ei gyrraedd mewn gwirionedd. Cofnodwch yr ôl troed wrth ymyl dyddiad yr adnewyddiad, fel bod y gymhariaeth nesaf yn wiriad yn hytrach nag yn weithred o gof.