Access Server-eko web ziurtagiri errorea: CA sorta hutsa konpondu

DNS behar bezala ebazten den bitartean kargatzen ez den web saio-hasiera orriak ez du normalean DNS arazo bat adierazten. Zerbitzuaren erregistroak ziurtagiri sortaren bide huts bat edo web ziurtagiriaren eta gako pribatuaren PEM analisi hutsegite bat aipatzen badu, HTTPS entzuleak ez du material erabilgarririk eta izenen ebazpenak ez du lagunduko. Konponketa hiru konfigurazio giltzatan dago, eta ez du VPN bezero ziurtagiri bakar bat ere berrargitaratzea eskatzen.

Hiru gakoek zer seinalatzen duten

Web ziurtagiri multzo pertsonalizatua cs.cert, cs.priv_key eta cs.ca_bundle bidez deskribatzen da. Bakoitzak fitxategi baten bidea gordetzen du eta hirurak batera erabiltzen ditu web zerbitzuak. Gako okerra duen ziurtagiri batek, edo benetan hosto ziurtagiria den kate fitxategi batek, balio huts batek bezala huts egiten du: entzuleak ezin du nabigatzaileak onartuko lukeen kate bat eraiki.

Gako hauek Admin eta Client web interfazeari dagozkio. VPN bezeroei ziurtagiriak ematen dizkien PKItik bereiziak dira, beraz ordezkatzeak ez du bezero profilak, zerbitzariaren gakoa edo ziurtagiri agintaritza ukitzea eskatzen. Web TLS hutsegite bat PKI osoa berreraikitzeko arrazoi gisa hartzea da hemen urrats oker garestiena.

Bereizketa batek denbora aurrezten du: berariaz hutsik dagoen balio pertsonalizatua ez da ordezkapenik ez izatearen egoera bera. Lehenengoak bide hutsa ematen dio analizatzaileari, hori dio erregistro lerroak. Bigarrenak Access Server bere material propioan uzten du, horregatik host batzuk ondo abiatzen dira bertsio berritzearen ondoren eta beste batzuk ez.

Zergatik existitzen den fitxategi batek huts egiten duen oraindik

Analizatzaileak fitxategiaren barruko bloke etiketatuak irakurtzen ditu, ez fitxategiaren izena. Gako pribatua duen .crt bat, ziurtagiri bakarra espero zen tokian bloke bateratu bakar gisa idatzitako kate bat, edo azken lerroa moztuta gordetako fitxategi bat baztertu egiten dira. RFC 7468 etiketa irakurgarri horiek definitzen ditu irakurleari zein objektu mota datorren esaten dion gauza bakarra direlako.

Aztertu objektuak, ez luzapenak. Linux host batean openssl x509 -noout -subject -issuer -in server.pem eta openssl pkey -noout -check -in key.pem garrantzitsuak diren bi galderei erantzuten diete, eta bien modulua edo gako publikoa alderatzeak elkarrekin daudela frogatzen du. Eduki ezazu gako pribatuaren irteera tiketetatik eta txat erregistroetatik kanpo; egiaztapenak hatz-marka behar du, ez gakoa.

Bide huts batek fitxategi gaizki eratutako batek bezainbeste susmo merezi du, biak ondorengo errore lausoak sortzen dituztelako. Erregistroak sortaren bidea hutsik dagoela dioen badio, irakurri gordetako balioa fitxategia araztu aurretik.

Itzuli babeseko bidera nahita

Access Serverren CLIak hiru bideak argumentu gisa hartzen dituen egiaztapen bat du eta multzoa erabilgarria den jakinarazten du. Beheko bideak adibidezkoak dira; ordezkatu itzazu ostalariaren kokapen babestuekin:

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Irakurri emaitza martxan dagoen zerbitzua ukitu aurretik, eta soilik geroago inportatu balioak eta aplikatu instalatutako bertsiorako dokumentatutako eragiketaren bidez. CLIko tutorial ofizialak egiaztapena, konfigurazio datu-basera inportatzea eta aplikazio urratsa biltzen ditu, eta haren bertsioak edozein laburpenek baino gehiago balio du.

Egiaztatu erabiltzaileek benetan idazten duten izena

Material pertsonalizatua hondatuta dagoenean eta baliozko barne babes bat oraindik badago, dokumentatutako berreskurapena hiru ordezkapen pertsonalizatuak kentzea eta Access Serverri babes hori erabiltzen uztea da. Ziurtatu lehenik kontsolako sarbidea eta uneko konfigurazioaren kopia bat, berrabiaraziko duzun zerbitzua administrazio interfazea zerbitzatzen duena delako.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Konfigurazio datu-base osoa garbitzea ez da ziurtagiri konponketa bat. Heldu hiru giltza horiei, aplikatu eta egiaztatu web interfazeak erantzuten duela. web-ssl direktoriotik beherako auto-sinatutako fitxategiak babes baliabidea dira, ez lan eremua: haien gainean idazteak edo birsortzeak funtzionatzen zuen material bakarra kendu dezake.

Espero ezazu nabigatzaileak beste ziurtagiri bat erakustea babesa indarrean sartu ondoren. Hori da emaitza zuzena, eta erantzuna zure administrazio prozesu fidagarriaren bidez egiaztatzea da, ez erabiltzaileei ondoren ikusten duten abisu bakoitza gainditzen irakastea.

Berreskurapena saio-hasiera on baten ondoren amaitzen da

Berreskurapena ez da amaitzen TCP entzule bat agertzean. Egiaztatu DNS izena, ziurtagiriaren nortasuna eta izen horretarako katea, gero kargatu Admin eta Client web interfazeak eta osatu saio-hasiera bat. Portu egiaztapen batek ez du horietako ezer frogatzen.

Access Server 3.1 eta geroagokoek SNI ostalari izen bakoitzeko web ziurtagiri desberdinak ere zerbitza ditzakete. Hori konfiguratuta badago, lehenetsitako gakoak eta izen espezifikoko sarrerak multzo bereiziak dira, eta IP helbidearen bidez probatzeak erabiltzaileek jasotzen dutenaren ezberdina den ziurtagiri bat erakuts dezake erraz. Konpondu eta egiaztatu huts egin zuen izenaren multzoa, eta errepikatu saio-hasierako proba gorabehera itxi aurretik.