Zergatik Client VPN ziurtagiria berrimportatzeak amaiera-puntu berria behar duen

Client VPN konexio bat apurtzen da, ACMko ziurtagiria ordezten da, eta ezer ez da aldatzen. Ziurtagiriaren objektua ez zen inoiz amaiera-puntuak erabiltzen zuena. Amaiera-puntuak sorreran ziurtagiri batekiko lotura gordetzen du, baliozkotzeko erabiliko duen bezero CArekin, autentifikazio motarekin, azpisareekin eta baimen arauekin batera, eta lotura horietako batek ez du ordezkapen ziurtagiria onartzen duen aldaketa-deirik. ARN baten atzeko byteak ordeztea ziurtagiriaren aldaketa da, ez hura harrapatu zuen amaiera-puntuarena.

Amaiera-puntuak erreferentziak gordetzen ditu, ez ziurtagiriak

Mekanismoa zehatz adieraztea merezi du, hutsegite osoa azaltzen duelako. create-client-vpn-endpoint(e)k zerbitzari ziurtagiri baten ARN bat eta bezero erro ziurtagiri kate baten ARN bat hartzen ditu, eta sortzen den amaiera-puntuak erreferentzia horiek gordetzen ditu autentifikazio aukerekin batera propietate finko gisa. APIak ez du eragiketarik eskaintzen lehendik dagoen amaiera-puntu batean zerbitzari ziurtagiria trukatzen duenik.

Lotura asmatu gabe egiaztatu dezakezu. aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0(e)k ziurtagiriaren ARN, bezeroaren erro katearen ARN, autentifikazio mota, bezeroaren CIDR eta lotutako azpisareak inprimatzen ditu, eta hori da erreproduzitu beharko zenukeen propietate multzo osoa. Exekutatu berrimportatu aurretik eta ondoren, eta irteera ez da mugituko. Hori da berrimportazioak inoiz lagunduko ez zuela frogatzen duen ebidentzia.

Zergatik ezin duen berrimportazioak amaiera-puntura iritsi

Berrimportazio batek ziurtagiri gorputz berri bat idazten du lehendik dagoen ARN baten azpian. Eragiketa zilegia da ziurtagiria iraungitzetik gertu dagoenean, eta ACMk onartuko du gako pribatua bat datorren eta katea baliozkotzen den bitartean. Egiten ez duena amaiera-puntuaren sorrera uneko baliozkotzea berriro exekutatzea da, beraz lotura eta haren atzeko materiala amaiera-puntua eraiki zenean zeuden moduan geratzen dira.

Horregatik ere sintomak sare hutsegite baten antza du. TLS esku-emateak huts egiten du edo berrezartzen da baimena inolaz ere ebaluatu aurretik, beraz segurtasun-taldeek, ibilbideek eta baimen arauek errugabe dirudite, eta hala dira.

Katea bezero ziurtagiriaren parte da

Hutsegitearen bigarren erdia bezero ziurtagirian dago, eta errazagoa da baztertzen. Bezero ziurtagiri bat hura jaulki zuen katearekin inportatu behar da, inportazio inprimakiak eremu hori hautazkotzat aurkezten badu ere. Katearen gabeziarekin amaiera-puntuak ezin du bezero ziurtagiritik konfiguratu zuten bezero erro CArako bidea eraiki, eta konexioa berrezartze bigun batekin amaitzen da, paketeak botatzen dituen suebaki baten antza duena. openssl verify -CAfile root-ca.pem client.crt(e)k galdera horri lokalki segundu batean erantzuten dio, eta exekutatzen duzun lehen komandoa izan beharko luke.

Katearekin berrimportatzea benetako konponketa da erdi horretarako, eta oraindik ere ez da nahikoa bere kabuz. ACM objektua aldatu ondoren, lotura zaharra duen amaiera-puntua da probak egiten jarraitzeko gauza okerra. Bi urratsak konponketa beraren parte dira, horregatik bi zatiko konponketa ez da kontraesana.

Amaiera-puntu bat berrigortzea migrazioa da

Ordezkapen amaiera-puntu bat sortzea migrazioa da, ez berriro saiatze bat, eta hala tratatzea da taldeak erdi konfiguratutako bi amaiera-punturekin amaitzeko modua. Amaiera-puntu berriak ID berria hartzen du eta, horretarako planifikatu ez baduzu, DNS izen berria erabiltzaile bakoitzarentzat. Mantendu bezero profila izen batera begira, helbide batera beharrean, trukea erregistro aldaketa izan dadin birbanaketa izan beharrean.

Hori seguru mantentzen duen ordena laburra da: sortu amaiera-puntu berria CIDR, azpisare eta baimen arau berberekin, esportatu profil berri bat aws ec2 export-client-vpn-client-configuration(e)kin, eta egiaztatu erabiltzaile batekin. Horren ondoren bakarrik jaisten da amaiera-puntu zaharra.

Amaiera-puntu zaharra kentzeak badu bere ordena. Ezeztatu erretiratu nahi zenituen bezero ziurtagiriak hura ezabatu aurretik, CA zaharraz oraindik fidatzen den amaiera-puntu berri batek desagertu zirela uste zenuen ziurtagiriak onartzen jarraitzen duelako. Ondoren ezabatu amaiera-puntu zaharra eta kendu haren baimen arauak, profila zaharkitu batek itxita zegoela uste zenuen helburu sare batera berriz konektatu ez dadin. Idatzi amaiera-puntu zaharraren IDa eta loturaren identifikatzaileak aldaketa erregistroan, memorian oinarrituta alderatutako migrazioa baita lanean dabilen amaiera-puntu bat bi aldiz berreraikitzeko modua.

Ordenatu diagnostikoa

Bereizi hiru hutsegite konfigurazio oro aldatu aurretik. Bezeroak ezin du TLS osatu, bezeroak TLS osatzen du eta ez dago baimenduta, edo bezeroa konektatzen da eta ezin du helmugarik iritsi. Ziurtagiriaren lotura lehenari dagokio, bezeroaren helbidea estaltzen ez duen baimen arau bat bigarrenari, eta ibilbide edo segurtasun-talde bat hirugarrenari, non amaiera-puntu bat berrigortzea ia beti den urrats okerra.

Hilabeteak lanean ibili eta gero gelditu zen amaiera-puntu bat, ziurtagiri edo politika aldaketarik gabe, kasu bereizia da. Ezarpen berberekin berreraikitzeak zerbitzua berrezar dezake, baina hori konfigurazioa erreproduzigarri mantentzeko arrazoia da, ez gertakari bakoitzean berreraikitzeko arrazoia.

Mantendu lau gauza bertsio-kontrolpean hurrengo berreraikuntza diff bat izan dadin, inprobisazio bat izan beharrean: amaiera-puntuaren parametroak, ziurtagiriaren eta katearen ARNak, baimen arauak eta bezeroaren CIDR. Client VPN autentifikazioaren dokumentazioak zer ziurtagirik zein rol betetzen duen zerrendatzen du, eta hori egiaztatzea merezi du ziurtagiria dela arazoa inolaz ere suposatu aurretik. Berrimportazio batek ezer aldatzen ez badu eta amaiera-puntuak berrezartzen jarraitzen badu, lotura da susmagarria eta erantzuna erregistratutako parametroekin eraikitako amaiera-puntu berri bat da. Amaiera-puntuak objektu berria hartzen badu, lotura jada zuzena zen eta hutsegitea bezero katean edo baimen geruzan dago.