Wêrom it opnij ymportearjen fan in Client VPN-sertifikaat in nij einpunt fereasket

In Client VPN-ferbining brekt, it sertifikaat yn ACM wurdt ferfongen, en der feroaret neat. It sertifikaatobjekt wie nea it ding dat it einpunt brûkte. It einpunt bewarret by it oanmeitsjen in assosjaasje mei in sertifikaat, tegearre mei de kliïnt-CA dêr’t it tsjin falidearje sil, it type autentikaasje, de subnets en de autorisaasjeregels, en gjin fan dy assosjaasjes hat in wizigingsoprop dy’t in ferfangend sertifikaat akseptearret. It ferfangen fan de bytes efter in ARN is in feroaring oan it sertifikaat, net oan it einpunt dat it fêstlein hat.

It einpunt bewarret ferwizings, gjin sertifikaten

It meganisme is it wurdich krekt te formulearjen, want it ferklearret de hiele flater. create-client-vpn-endpoint nimt in ARN fan in tsjinner-sertifikaat en in ARN fan in kliïntroot-sertifikaatkeatling, en it ûntstiene einpunt hâldt dy ferwizings mei de autentikaasje-opsjes as fêste eigenskippen. It API-oerflak biedt gjin operaasje dy’t it tsjinner-sertifikaat op in besteand einpunt ferwikselet.

Jo kinne de bining befêstigje sûnder te rieden. aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 prints it sertifikaat-ARN, it ARN fan ’e kliïntrootkeatling, it type autentikaasje, it kliïnt-CIDR en de byhearrende subnets, dat is de folsleine set eigenskippen dy’t jo reprodusearje moatte. Rin it foar en nei in werymport, en de útfier beweegt net. Dat is it bewiis dat de werymport nea helpe koe.

Wêrom’t in werymport it einpunt net berikke kin

In werymport skriuwt in nij sertifikaatlichem ûnder in besteand ARN. Dat is in legitime operaasje as in sertifikaat tichtby it ferrinnen is, en ACM sil it akseptearje salang’t de priveekaaie oerienkomt en de keatling falidearret. Wat it net docht, is de falidaasje fan it oanmeitsjen fan it einpunt opnij draaie, sadat de assosjaasje en it materiaal dêr efter bliuwe sa’t se wiene doe’t it einpunt boud waard.

Dêrom liket it symptoom ek op in netwurkflater. De TLS-hânskodding mislearret of wurdt reset foardat de autorisaasje ea beoardiele wurdt, sadat feiligensgroepen, rûtes en autorisaasjeregels allegear ûnskuldich lykje, en dat binne se.

De keatling is diel fan it kliïntsertifikaat

De twadde helte fan ’e flater sit yn it kliïntsertifikaat, en dy is makliker fuort te skowen. In kliïntsertifikaat moat ymportearre wurde mei de keatling dy’t it útjûn hat, ek al lit it ymportformulier dat fjild as opsjoneel sjen. Sûnder de keatling kin it einpunt gjin paad bouwe fan it kliïntsertifikaat nei de kliïntroot-CA dêr’t it mei konfigurearre is, en de ferbining einiget yn in sêfte reset dy’t klinkt as in fjoermuorre dy’t pakketten lit falle. openssl verify -CAfile root-ca.pem client.crt beantwurdet dy fraach lokaal yn in sekonde, en it soe it earste kommando wêze moatte dat jo draaie.

Werymportearje mei de keatling is in echte reparaasje foar dy helte, en it is noch altyd net genôch op himsels. Sadree’t it ACM-objekt feroare is, is it einpunt mei de âlde assosjaasje it ferkearde ding om tsjin te testen. Beide stappen hearre by deselde reparaasje, dêrom is de twadielige reparaasje gjin tsjinstelling.

It opnij meitsjen fan in einpunt is in migraasje

It meitsjen fan in ferfangend einpunt is in migraasje, gjin nij besykjen, en it dêr as nij besykjen mei omgean is hoe’t teams einigje mei twa heal konfigurearre einpunten. It nije einpunt krijt in nij ID en, at jo it net plend hiene, in nije DNS-namme foar elke brûker. Hâld it kliïntprofyl nei in namme wizen ynstee fan nei in adres, sadat de ruil in recordwiziging wurdt ynstee fan in nije ferdieling.

De folchoarder dy’t dit feilich hâldt, is koart: meitsje it nije einpunt mei deselde CIDR, subnets en autorisaasjeregels, eksportearje in nij profyl mei aws ec2 export-client-vpn-client-configuration, en ferifiearje mei ien brûker. Pas dêrnei giet it âlde einpunt del.

It út tsjinst nimmen fan it âlde einpunt hat syn eigen folchoarder. Lûk de kliïntsertifikaten yn dy’t jo út tsjinst nimme woene foardat jo it wiskje, want in nij einpunt dat de âlde CA noch fertrout, bliuwt sertifikaten akseptearjen dy’t jo kwyt tochten. Wiskje dan it âlde einpunt en ferwiderje syn autorisaasjeregels, sadat in ferâldere profyl him net opnij ferbine kin mei in doelnetwurk dat jo sletten tochten. Skriuw it ID fan it âlde einpunt en de assosjaasje-identifisearjers yn it wizigingsrecord, want in migraasje fergeleken mei it ûnthâld is hoe’t in wurkjend einpunt twa kear opnij boud wurdt.

Oarderje de diagnoaze

Skied trije flaters foardat jo hokker konfiguraasje dan ek feroarje. De kliïnt kin TLS net foltôgje, de kliïnt foltôget TLS en is net autorisearre, of de kliïnt ferbynt en berikt gjin bestimming. Sertifikaatassosjaasje heart by de earste, in autorisaasjeregel dy’t it kliïntadres net dekt heart by de twadde, en in rûte of feiligensgroep heart by de tredde, dêr’t it opnij meitsjen fan in einpunt hast altyd de ferkearde set is.

In einpunt dat moannen wurke en doe stoppe, sûnder feroaring fan sertifikaat of belied, is in apart gefal. It opnij bouwe mei deselde ynstellingen kin de tsjinst werombringe, mar dat is in reden om de konfiguraasje reprodukber te hâlden, net in reden om by elk foarfal opnij te bouwen.

Hâld fjouwer dingen ûnder ferzje-behear, sadat de folgjende weropbou in diff is en gjin ymprovisaasje: de einpuntparameters, de sertifikaat- en keatling-ARN’s, de autorisaasjeregels en it kliïnt-CIDR. De dokumintaasje oer Client VPN-autentikaasje listet waans sertifikaat hokker rol spilet, en dat is it wurdich te kontrolearjen foardat jo ea oannimme dat in sertifikaat it probleem is. At in werymport neat feroaret en it einpunt reset noch, dan is de assosjaasje de fertochte en is it antwurd in nij einpunt boud út de fêstleine parameters. At it einpunt it nije objekt wol oppakt, wie de assosjaasje al korrekt en sit de flater yn ’e kliïntkeatling of de autorisaasjelaach.