Uusittu VPN-varmenne: jotkin asiakkaat hylkäävät sen edelleen

Puolet ympäristöstä yhdistää uudelleen uusinnan jälkeen ja kolme laitetta kieltäytyy, kukin varoituksella yhdyskäytävän identiteetistä. Itse uusinta on rutiinia. Se, mitä ne kolme laitetta pitävät, on pinna vanhaan objektiin, ja pin ei ole CA-luettelo, nimitaristus eikä merkintä luottamusvarastossa. Vertaa kolmea mekanismia ennen minkään asiakkaan koskettamista.

Yksi uusinta, kaksi käyttäytymistä

Uudelleen yhdistävillä asiakkailla on luottamuspäätös, joka vielä menee läpi, ja kieltäytyvillä on vaatimus, jota uusi varmenne ei täytä. Tämä ero on tietoa, ei kohinaa. Lue epäonnistuvan asiakkaan viesti tarkasti. Nimen epäsopivuus, tuntematon myöntäjä ja muuttunut sormenjälki ovat kolme eri tuomiota, ja vain viimeinen viittaa pinnaan.

Tarkista myös, minkä profiilin epäonnistuva asiakas valitsi. Tuotu kopio, joka asuu omassa varastossaan, ei muutu, kun ylläpitäjä muokkaa alkuperäistä tiedostoa muualla.

Uusinta korvaa objektin, ei vain päivämäärää

Sormenjälki tunnistaa varmenteen koodatun sisällön. Uusinta tuottaa uuden varmenteen, joten sormenjälki muuttuu, vaikka subjektin nimi ja julkinen avain pysyisivät samanlaisina. Se on odotettua ja vaaratonta asiakkaille, jotka luottavat CA:han ja tarkistavat nimen. Se on kohtalokasta asiakkaalle, joka on määritetty hyväksymään täsmälleen yksi varmenne, ja se on kohtalokasta myös asiakkaalle, jonka luottamusvarasto ei koskaan saanut uutta myöntäjää.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Toinen rivi vastaa eri kysymykseen: säilyikö avainpari. Uusinta, joka käytti avainta uudelleen, säilyttää tämän arvon ja muuttaa vain varmenteen, mikä on juuri se tapaus, jossa ylläpitäjää houkuttaa olettaa, ettei mikään muuttunut. Tarkastele varmenne, joka on käytössä, älä sitä, joka on koontikoneella. Tiedoston vertaaminen tietovarastossa todistaa, mitä luotiin, ei sitä, mitä kuuntelija juuri nyt esittää.

Lue, mitä asiakas pinnaa

Jotkin asiakkaat pitävät sormenjälkeä profiilissaan ja vertaavat sitä joka yhteydellä. Toiset tallentavat sen alustan luottamusvarastoon, ja toiset taas luottavat vain CA:han. Korjaus vaihtelee tapauskohtaisesti, joten tunnista ensin mekanismi.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Ensimmäinen komento näyttää pinnan tavanomaisessa profiilissa; toinen näyttää sormenjäljen, jota päätepiste todella tarjoaa juuri nyt. Kun ne kaksi eroavat, olet paikantanut vian arvaamatta. Älä liitä uutta arvoa jokaiseen valittavaan asiakkaaseen. Myöntäjän vuoksi kieltäytyvä asiakas kieltäytyy edelleen, ja olet opettanut itsellesi, että sormenjälki oli ongelma, kun se ei ollut.

Vertaa varmenne, jonka kukin backend tarjoaa

Jaksottaiset tulokset tarkoittavat yleensä useampaa kuin yhtä päätepistettä, ja yhteen solmuun sovellettu uusinta jättää muut esittämään vanhaa objektia. Vertaa kutakin backendia osoitteen eikä jaetun nimen mukaan.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Pooli, jossa yksi solmu laahaa, selittää asiakkaan, joka yhdistää toisella yrityksellä ja epäonnistuu ensimmäisellä. Se selittää myös valvontatarkistuksen, joka menee läpi, kun käyttäjät valittavat. Korjaa laahaus ensin. Luottamuskokoonpanon käyttöönotto ennen kuin jokainen solmu tarjoaa uuden varmenteen luo ikkunan, jossa mikään ei toimi, ja käyttöönotto sen jälkeen jättää asiakkaat epäonnistumaan arvaamattomasti.

Muuta luottamusta hallitun polun kautta

Vahvista korvaaminen jo luotetun hallintokanavan kautta ennen kuin hyväksyt sen missään. Uskottava vanhenemispäivä ei ole todiste omistuksesta. Päivitä hallittu kokoonpano sen omistavan prosessin kautta, mahdollisen hyväksyttävien identiteettien päällekkäisyyden kanssa, ja pidä käyttöönoton vaatima nimen vahvistus. Pinna ilman nimitaristusta on heikompi suunnittelu kuin CA-luottamus, jonka se korvasi.

Tarkista sitten asiakaskohtaisesti: yhdistä, vahvista identiteetti, jonka se hyväksyi, ja kirjaa varmenteen versio, johon se nyt luottaa. Kerran sivuutettu varoitus tapaa palata seuraavassa uusinnassa.