Pam mae ail-importio tystysgrif Client VPN angen pwynt terfyn newydd

Mae cysylltiad Client VPN yn torri, mae’r dystysgrif yn ACM yn cael ei disodli, ac nid oes dim yn newid. Nid y gwrthrych tystysgrif oedd y peth yr oedd y pwynt terfyn yn ei ddefnyddio erioed. Mae pwynt terfyn yn storio cysylltiad â thystysgrif ar adeg ei greu, ynghyd â’r CA cleient y bydd yn dilysu yn ei erbyn, y math o ddilysu, yr is-rwydweithiau a’r rheolau awdurdodi, ac nid oes gan unrhyw un o’r cysylltiadau hyn alwad addasu sy’n derbyn tystysgrif amnewid. Mae disodli’r beitiau y tu ôl i ARN yn newid i’r dystysgrif, nid i’r pwynt terfyn a’i cofnododd.

Mae’r pwynt terfyn yn storio cyfeiriadau, nid tystysgrifau

Mae’n werth nodi’r mecanwaith yn fanwl gywir oherwydd mae’n esbonio’r methiant cyfan. Mae create-client-vpn-endpoint yn cymryd ARN tystysgrif gweinydd ac ARN cadwyn tystysgrif wreiddiol cleient, ac mae’r pwynt terfyn sy’n deillio yn cadw’r cyfeiriadau hynny ynghyd â’r opsiynau dilysu fel priodweddau sefydlog. Nid yw arwyneb yr API yn cynnig unrhyw weithrediad sy’n cyfnewid y dystysgrif gweinydd ar bwynt terfyn sy’n bodoli’n barod.

Gallwch gadarnhau’r cysylltiad heb ddyfalu. Mae aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 yn argraffu ARN y dystysgrif, ARN cadwyn wreiddiol y cleient, y math o ddilysu, CIDR y cleient a’r is-rwydweithiau cysylltiedig, sef y set gyflawn o briodweddau y byddai’n rhaid i chi eu hailgynhyrchu. Rhedegwch ef cyn ac ar ôl ail-import ac nid yw’r allbwn yn symud. Dyna’r dystiolaeth nad oedd yr ail-import byth yn mynd i helpu.

Pam na all ail-import gyrraedd y pwynt terfyn

Mae ail-import yn ysgrifennu corff tystysgrif newydd o dan ARN sy’n bodoli. Mae hynny’n weithrediad dilys pan fo tystysgrif yn agos at ddod i ben, a bydd ACM yn ei dderbyn cyhyd ag y bydd yr allwedd breifat yn cyfateb ac y bydd y gadwyn yn dilysu. Yr hyn nad yw’n ei wneud yw ail-redeg dilysu adeg creu’r pwynt terfyn, felly mae’r cysylltiad a’r deunydd y tu ôl iddo yn aros fel yr oeddent pan adeiladwyd y pwynt terfyn.

Dyma hefyd pam mae’r symptom yn darllen fel diffyg rhwydwaith. Mae ysgwyd llaw TLS yn methu neu’n ailosod cyn i awdurdodi gael ei werthuso o gwbl, felly mae grwpiau diogelwch, llwybrau a rheolau awdurdodi i gyd yn edrych yn ddieuog, ac maent felly.

Mae’r gadwyn yn rhan o dystysgrif y cleient

Mae hanner arall y methiant yng nghystysgrif y cleient, ac mae’n haws ei diystyru. Rhaid mewnforio tystysgrif cleient gyda’r gadwyn a’i cyhoeddodd, er bod y ffurflen fewnforio yn cyflwyno’r maes hwnnw fel un dewisol. Heb y gadwyn ni all y pwynt terfyn adeiladu llwybr o dystysgrif y cleient i’r CA gwraidd cleient y cafodd ei ffurfweddu ag ef, ac mae’r cysylltiad yn gorffen mewn ailosodiad meddal sy’n darllen fel mur tân yn gollwng pecynnau. Mae openssl verify -CAfile root-ca.pem client.crt yn ateb y cwestiwn hwnnw’n lleol mewn eiliad, a dylai fod y gorchymyn cyntaf y byddwch yn ei redeg.

Mae ail-import gyda’r gadwyn yn atgyweiriad go iawn ar gyfer y hanner hwnnw, ac nid yw’n ddigon ar ei ben ei hun o hyd. Unwaith y bydd gwrthrych ACM wedi newid, y pwynt terfyn sy’n dal yr hen gysylltiad yw’r peth anghywir i barhau i brofi yn ei erbyn. Mae’r ddau gam yn perthyn i’r un atgyweiriad, a dyna pam nad yw’r atgyweiriad deuddarn yn groesddywediad.

Mae ail-greu pwynt terfyn yn ymfudo

Mae creu pwynt terfyn amnewid yn ymfudo, nid yn ailgynnig, a thrin hynny fel ailgynnig yw sut mae timau’n gorffen â dau bwynt terfyn hanner-ffurfweddedig. Mae’r pwynt terfyn newydd yn cael ID newydd ac, oni bai eich bod wedi cynllunio ar ei gyfer, enw DNS newydd i bob defnyddiwr. Cadwch y proffil cleient yn pwyntio at enw yn hytrach nag at gyfeiriad fel bod y cyfnewid yn dod yn newid cofnod yn lle’n ailddosbarthiad.

Mae’r drefn sy’n cadw hyn yn ddiogel yn fyr: crëwch y pwynt terfyn newydd gyda’r un CIDR, is-rwydweithiau a rheolau awdurdodi, allforiwch broffil ffres gyda aws ec2 export-client-vpn-client-configuration, a gwirio gydag un defnyddiwr. Dim ond wedyn y daw’r hen bwynt terfyn i lawr.

Mae gan ymddeol yr hen bwynt terfyn ei drefn ei hun. Dirymwch y tystysgrifau cleient yr oeddech am eu hymddeol cyn ei ddileu, oherwydd mae pwynt terfyn newydd sy’n dal i ymddiried yn yr hen CA yn parhau i dderbyn tystysgrifau yr oeddech yn credu oedd wedi mynd. Yna dilëwch yr hen bwynt terfyn a thynnu ei reolau awdurdodi, fel na all proffil hen ffasiwn ailgysylltu â rhwydwaith targed yr oeddech yn credu oedd ar gau. Ysgrifennwch ID yr hen bwynt terfyn a’r dynodwyr cysylltu yn y cofnod newid, oherwydd ymfudo a gymharwyd â chof yw sut mae pwynt terfyn gweithredol yn cael ei ailadeiladu ddwywaith.

Trefnwch y diagnosis

Gwahanwch dri methiant cyn newid unrhyw ffurfweddiad. Ni all y cleient gwblhau TLS, mae’r cleient yn cwblhau TLS ac nid yw wedi’i awdurdodi, neu mae’r cleient yn cysylltu ac ni all gyrraedd cyrchfan. Mae cysylltiad tystysgrif yn perthyn i’r cyntaf, mae rheol awdurdodi nad yw’n cwmpasu cyfeiriad y cleient yn perthyn i’r ail, ac mae llwybr neu grŵp diogelwch yn perthyn i’r trydydd, lle mae ail-greu pwynt terfyn bron bob amser yn gam gwael.

Mae pwynt terfyn a weithiodd am fisoedd ac a stopiodd wedyn, heb unrhyw newid tystysgrif na pholisi, yn achos ar ei ben ei hun. Gall ailadeiladu gyda’r un gosodiadau adfer y gwasanaeth, ond mae hynny’n rheswm i gadw’r ffurfweddiad yn ailadroddadwy, nid yn rheswm i ailadeiladu ar bob digwyddiad.

Cadwch bedwar peth dan reolaeth fersiwn fel bod yr ailadeiladu nesaf yn diff ac nid yn fyrbwylltra: paramedrau’r pwynt terfyn, ARN y dystysgrif a’r gadwyn, y rheolau awdurdodi a CIDR y cleient. Mae dogfennaeth dilysu Client VPN yn rhestru pa dystysgrif sy’n chwarae pa rôl, sy’n werth ei wirio cyn tybio o gwbl mai tystysgrif yw’r broblem. Os nad yw ail-import yn newid dim a bod y pwynt terfyn yn dal i ailosod, y cysylltiad yw’r sawl a ddrwgdybir a’r ateb yw pwynt terfyn newydd wedi’i adeiladu o’r paramedrau a gofnodwyd. Os yw’r pwynt terfyn yn codi’r gwrthrych newydd, roedd y cysylltiad yn gywir yn barod ac mae’r diffyg yng nghadwyn y cleient neu’r haen awdurdodi.