SoftEther ServerCertSet: berrituako katea vpncmd-rekin inportatzea

Certbot-ek berritze arrakastatsu bat jakinarazten du, diskoan dauden fitxategiek data berriak dituzte, eta bezeroek oraindik identitate zaharra aurkitzen dute. SoftEther-ek bere SSL zerbitzari ziurtagiria bere zerbitzari mailako konfigurazioan gordetzen du, beraz diskoan fitxategi berri batek ez du ezer aldatzen hosto ziurtagiria eta bere gakoa inportatu arte. Hurrengo sekuentziak inportazio manual bat, berritze bakoitzaren ondoren exekutatzen den bilgarri bat eta entzuleak benetan zer aurkezten duen irakurtzen duen egiaztapen bat biltzen ditu. Urrats bakoitzak hurrengo berritzearen ondoren alderatu ditzakezun frogak uzten ditu.

Berritutako fitxategi batek ez du zerbitzariaren identitatea aldatzen

Jaulkipena eta hedapena gertaera bereiziak dira, hutsegite modu bereiziekin. ACME bezeroak fitxategiak leinu direktorio batean idazten ditu eta arrakasta erregistratzen du; SoftEther-ek konfigurazioan azken aldiz kargatutako ziurtagiria erabiltzen jarraitzen du. Beraz, irteera-egoera zero batek fitxategiak deskribatzen ditu, ez zerbitzua, eta biak desados egon daitezke inork begiratzen ez duen bitartean. Hartu inportazioa hedapen urrats gisa eta berritzea haren sarrera gisa.

Bereizketa horrek erdi-hutsegite nahasia ere azaltzen du: ziurtagiri zaharrak iraungipenera arte funtzionatzen du, beraz hasieran ez dirudi ezer hautsita. Iraungitzen denean, bezero guztiek aldi berean huts egiten dute, eta hori etenaldi bat balitz bezala ikusten da, ez galdutako hedapen urrats bat bezala. Berritze bakoitzaren ondoren aurkeztutako identitatea egiaztatzeak ezusteko hori ohiko behaketa bihurtzen du.

Aukeratu entzuleari dagokion erronka

Ziurtagiriak bezeroek egiaztatzen duten ostalaria izendatu behar du, beraz erabili DNS izen publikoa, ez barneko etiketa edo helbide bat. HTTP-01ek erronka une batez 80 portuan erantzutea eskatzen du, eta hori aldi baterako entzulea da, inoiz ez SoftEther-en bere portua mugitzeko arrazoi. DNS-01ek kontrola erregistro baten bidez frogatzen du eta ez du sarrerako HTTPrik behar.

Zaintzarik gabeko berritzeak zona bakarrera mugatutako kredentzialekin DNS integrazio automatikoa esan nahi du, ez bi hilabetean behin eskuz idatzitako TXT erregistroa. Komodin batek erronkaren mota aldatzen du, ez automatizazio horren beharra. Erabaki hori lehen ziurtagiria existitu aurretik, geroago erronka mota aldatzeak bezeroaren konfigurazioa eta suebakia batera ukitzea esan nahi baitu.

Eduki artefaktuak txukun hemen zauden bitartean. Hosto ziurtagiria eta tartekoak fitxategi bereizi gisa eta kate fitxategi bateratu gisa iristen dira, gako pribatua berriro bereizia da, eta inportazioak katea behar du bere gako egokiarekin, ez ziurtagiri publiko bat bakarrik.

Inportatu katea zerbitzari mailan

Egin zerbitzariaren konfigurazioaren babeskopia eta egiaztatu kudeaketa interfazea oraindik irits dezakezula ziurtagiria ukitu aurretik. Konektatu zerbitzari administratzaile gisa, ez Virtual Hub administratzaile gisa, ziurtagiria zerbitzari objektuarena baita. Gero kargatu katea eta gakoa bide absolutuz, komandoa exekutatzen duen kontuak irakur ditzakeen fitxategietatik. Kontuan izan bideak absolutuak direla, komandoak vpncmd exekutatu zuen prozesuaren lan direktorioitik ebazten dituelako:

ServerCertSet /LOADCERT:/etc/letsencrypt/live/vpn.example.com/fullchain.pem /LOADKEY:/etc/letsencrypt/live/vpn.example.com/privkey.pem

Irakurri komandoaren irteera arrakasta suposatu beharrean, eta gero irakurri katea berriro pasatu duzun fitxategian fidatu beharrean. PEM sorta osoa inportatzen duten bertsioen eta lehen ziurtagiria soilik hartzen duten bertsioen arteko muga ez dago leku bakarrean dokumentatuta, beraz egiaztapenak erabakitzen du zure aurrean dagoen bertsioarentzat. Zenbatu entzuleak aurkezten dituen ziurtagiriak; tarterik gabeko hosto bat lehen blokea soilik kontsumitu zuen inportatzaile baten sinadura da.

Eduki inportatutako gakoa zerbitzaria exekutatzen duen kontuarentzat bakarrik irakurgarri, eta eduki kudeaketa pasahitza shell historiatik kanpo. Lehen inportazio honetan, idatzi pasahitza gonbitenean, ez eman komando argumentu gisa. Bi ohitura horiek ez dute ezer kostatzen eta ziurtagiri hedapen batek babestu beharreko zerbait filtratzeko modurik ohikoena kentzen dute. Egin hori lehen inportazioa baino lehen, ez ondoren.

Lotu hedapena, ez berritzea

Inportazio manuala funtzionatzen duenean, jarri urrats horiek bilgarri txiki batean eta deitu ACME bezerotik berritze arrakastatsu baten ondoren. Certbot-ek RENEWED_LINEAGE eta RENEWED_DOMAINS ezartzen ditu kakoarentzat, beraz bilgarriak ziurtagiri batean joka dezake hainbat kudeatzen dituen makinan. Iragazi leinuaren arabera, ostalariaren berritze bakoitzari erreakzionatu beharrean. Bilgarria zerbitzariaren pribilegioekin exekutatzen den hedapen kodea da, beraz berrikusi ezazu posizio horretako edozein script bezala.

certbot renew --deploy-hook /usr/local/sbin/softether-deploy.sh

Zaintzarik gabe exekutatzen den kako batek bere kredentzial biltegi babestua eta pertsona batengana iristen den hutsegite seinalea behar ditu. Jaulkipenak arrakasta badu eta inportazioak huts egiten badu, saiatu inportazioa berriro, beste ziurtagiri bat eskatu beharrean, bigarren eskaera batek hedapen akatsa fitxategi berri baten atzean ezkutatzen baitu. Certbot-en berritze dokumentazioak argi dio ezer eguneratzen ez duen exekuzio bat emaitza normala dela, beraz kakoak bereizten ditu biak.

Alderatu aurkeztutako katea fitxategiarekin

Irakurri entzulea, ez diskoa. Konektatu bezeroei begira dagoen portura bezeroek erabiltzen duten zerbitzari izenarekin, eta gero alderatu hatz-marka eta entregatutako katea kakoak instalatutako leinuarekin. Bi komandok estaltzen dute, eta lehenak tarteak iristen diren ere erakusten du:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | grep -c 'BEGIN CERTIFICATE'
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -fingerprint -sha256

Gero egin bezero konexio berri bat, inportazioa baino lehen ezarritako saioak aurreko identitatearen aurka autentifikatu zirelako eta ez dutelako ezer frogatzen berriaren inguruan. Bezeroek hosto zaharra finkatzen badute, eguneratze koordinatua behar dute kate publikoa baliozkoa denean ere, eta zeregin hori berritzearen beraren runbook berean dago. Zerbitzuaren aurrean dagoen proxy alderantziak ziurtagiri ona aurkez dezake VPN entzuleak zaharra oraindik duen bitartean, eta horregatik egiaztapenak bezeroek benetan iristen diren portua izendatu behar du. Idatzi hatz-marka berritze dataren ondoan, hurrengo alderaketa egiaztapen bat izan dadin, ez memoria ekintza bat.