Σφάλμα πιστοποιητικού web στον Access Server: κενό πακέτο CA

Μια σελίδα σύνδεσης web που δεν φορτώνει ενώ το DNS επιλύεται σωστά συνήθως δεν είναι πρόβλημα DNS. Αν το αρχείο καταγραφής της υπηρεσίας αναφέρει κενή διαδρομή πακέτου πιστοποιητικών ή αποτυχία ανάλυσης PEM για το πιστοποιητικό web και το ιδιωτικό κλειδί, ο ακροατής HTTPS δεν έχει χρησιμοποιήσιμο υλικό και καμία επίλυση ονομάτων δεν βοηθά. Η διόρθωση βρίσκεται σε τρία κλειδιά διαμόρφωσης και δεν απαιτεί επανέκδοση κανενός πιστοποιητικού πελάτη VPN.

Τι δείχνουν πραγματικά τα τρία κλειδιά

Το προσαρμοσμένο σύνολο πιστοποιητικών web περιγράφεται από τα cs.cert, cs.priv_key και cs.ca_bundle. Καθένα αποθηκεύει μια διαδρομή σε αρχείο και τα τρία τα καταναλώνει μαζί η υπηρεσία web. Πιστοποιητικό με λάθος κλειδί, ή αρχείο αλυσίδας που είναι στην πραγματικότητα το φύλλο, αποτυγχάνει όπως μια κενή τιμή: ο ακροατής δεν μπορεί να χτίσει αλυσίδα που δέχεται ο περιηγητής.

Αυτά τα κλειδιά ανήκουν στη διεπαφή web Admin και Client. Είναι χωριστά από το PKI που εκδίδει πιστοποιητικά σε πελάτες VPN, οπότε η αντικατάσταση δεν απαιτεί άγγιγμα των προφίλ πελατών, του κλειδιού διακομιστή ή της αρχής πιστοποιητικών. Το να θεωρήσετε μια αστοχία TLS web αιτία για ανοικοδόμηση όλου του PKI είναι το ακριβότερο λάθος εδώ.

Μια διάκριση εξοικονομεί χρόνο: μια ρητά κενή προσαρμοσμένη τιμή δεν είναι η ίδια κατάσταση με καμία παράκαμψη. Η πρώτη δίνει στον αναλυτή κενή διαδρομή, αυτό λέει η γραμμή καταγραφής. Η δεύτερη αφήνει τον Access Server στο δικό του υλικό, γι αυτό μερικοί κόμβοι ξεκινούν καλά μετά από αναβάθμιση και άλλοι όχι.

Γιατί ένα αρχείο που υπάρχει ακόμη δεν αναλύεται

Ο αναλυτής διαβάζει τα επισημασμένα μπλοκ μέσα στο αρχείο, όχι το όνομα αρχείου. Ένα .crt που περιέχει ιδιωτικό κλειδί, αλυσίδα γραμμένη ως ένα συγχωνευμένο μπλοκ εκεί που αναμενόταν ένα πιστοποιητικό, ή αρχείο με κομμένη τελευταία γραμμή απορρίπτονται. Το RFC 7468 ορίζει αυτές τις αναγνώσιμες ετικέτες γιατί είναι το μόνο που λέει στον αναγνώστη ποιος τύπος αντικειμένου ακολουθεί.

Εξετάστε τα αντικείμενα, όχι τις επεκτάσεις. Σε κόμβο Linux, τα openssl x509 -noout -subject -issuer -in server.pem και openssl pkey -noout -check -in key.pem απαντούν στις δύο σημαντικές ερωτήσεις, και η σύγκριση συντελεστή ή δημόσιου κλειδιού και των δύο αποδεικνύει ότι ταιριάζουν. Κρατήστε την έξοδο του ιδιωτικού κλειδιού έξω από δελτία και αρχεία συνομιλίας· ο έλεγχος χρειάζεται αποτύπωμα, όχι το κλειδί.

Μια κενή διαδρομή αξίζει την ίδια καχυποψία με ένα κατεστραμμένο αρχείο, γιατί και τα δύο δίνουν αόριστα επακόλουθα σφάλματα. Αν το αρχείο καταγραφής λέει ότι η διαδρομή πακέτου είναι κενή, διαβάστε την αποθηκευμένη τιμή πριν αποσφαλματώσετε το αρχείο.

Επιστροφή στο εφεδρικό σκόπιμα

Το CLI του Access Server περιλαμβάνει έλεγχο επικύρωσης που παίρνει τις τρεις διαδρομές ως ορίσματα και αναφέρει αν το σύνολο είναι χρησιμοποιήσιμο. Οι διαδρομές παρακάτω είναι ενδεικτικές· αντικαταστήστε τις με τις προστατευμένες θέσεις στον κόμβο:

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Διαβάστε το αποτέλεσμα πριν αγγίξετε την εκτελούμενη υπηρεσία και μόνο τότε εισαγάγετε τις τιμές και εφαρμόστε τις με την τεκμηριωμένη ενέργεια για την εγκατεστημένη έκδοση. Το επίσημο σεμινάριο CLI καλύπτει επικύρωση, εισαγωγή στη βάση διαμόρφωσης και το βήμα εφαρμογής, και η έκδοσή του μετρά περισσότερο από οποιαδήποτε σύνοψη.

Επαληθεύστε το όνομα που πληκτρολογούν οι χρήστες

Όταν το προσαρμοσμένο υλικό είναι χαλασμένο και υπάρχει ακόμη έγκυρο ενσωματωμένο εφεδρικό, η τεκμηριωμένη ανάκτηση είναι να αφαιρέσετε τις τρεις προσαρμοσμένες παρακάμψεις και να αφήσετε τον Access Server να χρησιμοποιήσει το εφεδρικό. Εξασφαλίστε πρώτα πρόσβαση κονσόλας και αντίγραφο της τρέχουσας διαμόρφωσης, γιατί η υπηρεσία που θα επανεκκινήσετε είναι αυτή που σερβίρει τη διεπαφή διαχείρισης.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Το σβήσιμο όλης της βάσης διαμόρφωσης δεν είναι επισκευή πιστοποιητικού. Στοχεύστε αυτά τα τρία κλειδιά, εφαρμόστε και επιβεβαιώστε ότι η διεπαφή web απαντά. Τα αυτοϋπογεγραμμένα αρχεία στον κατάλογο web-ssl είναι ο εφεδρικός πόρος, όχι χώρος εργασίας: η αντικατάσταση ή αναγέννησή τους μπορεί να αφαιρέσει το μόνο λειτουργικό υλικό.

Περιμένετε ο περιηγητής να δείξει διαφορετικό πιστοποιητικό αφού ενεργήσει το εφεδρικό. Αυτό είναι το σωστό αποτέλεσμα και η απάντηση είναι να το επαληθεύσετε μέσω της έμπιστης διαχειριστικής σας διαδικασίας, όχι να μάθετε στους χρήστες να προσπερνούν κάθε προειδοποίηση.

Η ανάκτηση τελειώνει μόνο με επιτυχημένη σύνδεση

Η ανάκτηση δεν τελειώνει όταν εμφανιστεί ακροατής TCP. Επαληθεύστε το όνομα DNS, την ταυτότητα του πιστοποιητικού και την αλυσίδα για αυτό το όνομα, μετά φορτώστε και τις δύο διεπαφές web Admin και Client και ολοκληρώστε σύνδεση. Ένας έλεγχος θύρας δεν αποδεικνύει τίποτα από αυτά.

Ο Access Server 3.1 και νεότεροι μπορούν να σερβίρουν διαφορετικά πιστοποιητικά web ανά όνομα κόμβου SNI. Αν αυτό είναι ρυθμισμένο, τα προεπιλεγμένα κλειδιά και οι εγγραφές για συγκεκριμένο όνομα είναι ξεχωριστά σύνολα, και η δοκιμή μέσω διεύθυνσης IP δείχνει εύκολα άλλο πιστοποιητικό από αυτό που λαμβάνουν οι χρήστες. Διορθώστε και επαληθεύστε το σύνολο για το όνομα που αποτύγχανε και επαναλάβετε τη δοκιμή σύνδεσης πριν κλείσετε το περιστατικό.