Uuendatud VPN-sertifikaat: mõned kliendid keelduvad sellest endiselt

Pool keskkonnast ühendub pärast uuendust uuesti ja kolm seadet keelduvad, igaüks hoiatusega lüüsi identiteedi kohta. Uuendus ise on rutiin. See, mida need kolm seadet hoiavad, on pin vana objekti külge, ja pin ei ole CA nimekiri, nimekontroll ega kirje usaldushoidlas. Võrrelge kolme mehhanismi enne ühegi kliendi puudutamist.

Üks uuendus, kaks käitumist

Klientidel, kes uuesti ühenduvad, on usaldusotsus, mis veel läbib, ja neil, kes keelduvad, on nõue, mida uus sertifikaat ei täida. See erinevus on info, mitte müra. Lugege nurjunud kliendi sõnumit täpselt. Nime mittevastavus, tundmatu väljaandja ja muutunud sõrmejälg on kolm erinevat otsust ning ainult viimane osutab pinnile.

Kontrollige ka, millise profiili nurjunud klient valis. Imporditud koopia, mis elab oma hoidlas, ei muutu, kui administraator muudab originaalfaili mujal.

Uuendus asendab objekti, mitte ainult kuupäeva

Sõrmejälg identifitseerib sertifikaadi kodeeritud sisu. Uuendus loob uue sertifikaadi, seega sõrmejälg muutub ka siis, kui subjekti nimi ja avalik võti jäävad samaks. See on oodatav ja kahjutu klientidele, kes usaldavad CA-d ja kontrollivad nime. See on saatuslik kliendile, mis on seadistatud aktsepteerima täpselt ühte sertifikaati, ja samuti saatuslik kliendile, kelle usaldushoidla ei saanud kunagi uut väljaandjat.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Teine rida vastab teisele küsimusele: kas võtmepaar jäi alles. Uuendus, mis kasutas võtit uuesti, säilitab selle väärtuse ja muudab ainult sertifikaati, mis on täpselt see juhtum, kus administraatoril on kiusatus eeldada, et midagi ei muutunud. Kontrollige sertifikaati, mis on juurutatud, mitte seda, mis on koostamishostil. Faili võrdlemine hoidlas tõestab, mis genereeriti, mitte mida kuulaja praegu esitab.

Lugege, mida klient pinneb

Mõned kliendid hoiavad sõrmejälge oma profiilis ja võrdlevad seda igal ühendusel. Teised salvestavad selle platvormi usaldushoidlasse ja veel teised loodavad ainult CA-le. Parandus erineb igal juhul, seega tuvastage esmalt mehhanism.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Esimene käsk näitab pini tavapärases profiilis; teine näitab sõrmejälge, mida lõpp-punkt tegelikult praegu serveerib. Kui need kaks erinevad, olete vea paikseks teinud ilma oletamata. Ärge kleepige uut väärtust igasse kliendisse, mis kaebab. Väljaandja tõttu keelduv klient jätkab keeldumist ja te olete õpetanud endale, et sõrmejälg oli probleem, kui see ei olnud.

Võrrelge sertifikaati, mida iga backend serveerib

Vahelduvad tulemused tähendavad tavaliselt rohkem kui üht lõpp-punkti ja ühele sõlmele rakendatud uuendus jätab teised vana objekti esitama. Võrrelge iga backendit aadressi järgi, mitte jagatud nime järgi.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Bassein, kus üks sõlm jääb maha, selgitab klienti, kes ühendub teisel katsel ja ebaõnnestub esimesel. See selgitab ka jälgimiskontrolli, mis läbib, kui kasutajad kaebavad. Parandage esmalt mahajäämus. Usalduskõrvalduse juurutamine enne, kui iga sõlm uut sertifikaati serveerib, loob akna, kus miski ei tööta, ja juurutamine pärast jätab kliendid ettearvamatult ebaõnnestuma.

Muutke usaldust hallatava tee kaudu

Kinnitage asendamine juba usaldusväärse halduskanali kaudu enne selle kusagil aktsepteerimist. Uskutav aegumiskuupäev ei ole omandi tõestus. Värskendage hallatavat konfiguratsiooni selle omaniku protsessi kaudu, koos kavandatud vastuvõetavate identiteetide kattumisega, ja hoidke juurutuse nõutavat nimekontrolli. Pin ilma nimekontrollita on nõrgem disain kui CA usaldus, mille see asendas.

Seejärel kontrollige iga kliendi kaupa: ühenduge, kinnitage identiteet, mille see vastu võttis, ja märkige sertifikaadi versioon, mida see nüüd usaldab. Üks kord kõrvale jäetud hoiatusel on komme järgmisel uuendusel tagasi tulla.