Earráid theastas gréasáin in Access Server: an beartán CA folamh

Ní fadhb DNS de ghnáth é leathanach logála isteach gréasáin nach luchtaíonn cé go réitíonn DNS i gceart. Má luann loga na seirbhíse cosán folamh beartáin teastais nó teip pharsála PEM don teastas gréasáin agus don eochair phríobháideach, níl aon ábhar inúsáidte ag an éisteoir HTTPS agus ní chuidíonn aon réiteach ainmneacha. Tá an deisiú i dtrí eochair chumraíochta agus ní éilíonn sé aon teastas cliaint VPN a atheisiúint.

Cad a chuireann na trí eochair in iúl

Cuirtear síos ar an sraith theastas gréasáin saincheaptha le cs.cert, cs.priv_key agus cs.ca_bundle. Stórálann gach ceann cosán chuig comhad, agus ídíonn an tseirbhís ghréasáin an triúr le chéile. Teipeann teastas leis an eochair mhícheart, nó comhad slabhra is é an teastas duille i ndáiríre, ar an mbealach céanna le luach folamh: ní féidir leis an éisteoir slabhra a thógáil a ghlacfadh brabhsálaí.

Baineann na heochracha seo le comhéadan gréasáin Admin agus Client. Tá siad scartha ón PKI a eisíonn teastais do chliaint VPN, mar sin ní gá próifílí cliant, eochair an fhreastalaí ná an t-údarás teastais a bhaint. Is é an chéim mhícheart is costasaí anseo teip TLS gréasáin a mheas mar chúis le PKI iomlán a atógáil.

Sábhálann aon idirdhealú am: ní ionann luach saincheaptha atá folamh go follasach agus easpa forscríofa ar fad. Tugann an chéad cheann cosán folamh don pharsálaí, agus sin a deir líne an loga. Fágann an dara ceann Access Server ar a ábhar féin, agus dá bhrí sin tosaíonn roinnt óstach go maith tar éis uasghrádaithe agus ní thosaíonn daoine eile.

Cén fáth nach ndéantar comhad atá ann a pharsáil

Léann an parsálaí na bloic lipéadaithe laistigh den chomhad, ní ainm an chomhaid. Diúltaítear do .crt ina bhfuil eochair phríobháideach, do shlabhra scríofa mar aon bhloc comhcheangailte inar measadh aon teastas amháin, nó do chomhad a sábháladh le líne dheireanach teasctha. Sainmhíníonn RFC 7468 na lipéid inléite sin toisc gurb iad an t-aon rud a insíonn don léitheoir cén cineál réada a leanann.

Scrúdaigh na réada, ní na síneadh. Ar óstach Linux, freagraíonn openssl x509 -noout -subject -issuer -in server.pem agus openssl pkey -noout -check -in key.pem an dá cheist atá tábhachtach, agus cruthaíonn comparáid idir mhodalas nó eochair phoiblí an dá rud go mbaineann siad le chéile. Coinnigh aschur na heochrach príobháidí amach ó thicéid agus ó logaí comhrá; teastaíonn méarlorg ón seiceáil, ní an eochair.

Tá cosán folamh chomh hamhrasach le comhad míchumtha, mar go dtugann an dá rud earráidí doiléire níos déanaí. Má deir an loga go bhfuil cosán an bheartáin folamh, léigh an luach stóráilte sula ndéantar dífhabhtú ar an gcomhad.

Fill ar an rogha chúltaca d'aon ghnó

Tá seiceáil bhailíochtaithe ag CLI Access Server a thógann na trí chosán mar argóintí agus a thuairiscíonn an bhfuil an tsraith inúsáidte. Tá na cosáin thíos mar shampla; cuir na suíomhanna cosanta ar an óstach ina n-ionad:

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Léigh an toradh sula mbaintear leis an tseirbhís atá ag rith, agus ansin amháin iompórtáil na luachanna agus cuir i bhfeidhm iad tríd an oibríocht dhoiciméadaithe don leagan suiteáilte. Clúdaíonn an teagasc oifigiúil CLI bailíochtú, iompórtáil isteach sa bhunachar cumraíochta agus an chéim cur i bhfeidhm, agus tá a leagan níos tábhachtaí ná aon achoimre.

Fíoraigh an t-ainm a chlóscríobhann úsáideoirí

Nuair atá an t-ábhar saincheaptha briste agus cúltaca bailí ionsuite fós ann, is é an t-aisghabháil dhoiciméadaithe na trí fhorscríobh saincheaptha a bhaint agus ligean do Access Server an cúltaca sin a úsáid. Socraigh rochtain consóil agus cóip chúltaca den chumraíocht reatha ar dtús, mar is í an tseirbhís a atosófar an ceann a riarann an comhéadan riaracháin.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Ní deisiú teastais é an bunachar cumraíochta iomlán a ghlanadh. Díreoigh ar na trí eochair sin, cuir i bhfeidhm agus deimhnigh go bhfreagraíonn an comhéadan gréasáin. Is iad na comhaid féin-shínithe faoi chomhadlann web-ssl an acmhainn chúltaca, ní spás oibre: féadfaidh forscríobh nó athghiniúint an t-ábhar oibre amháin a bhaint.

Bí ag súil go dtaispeánfaidh an brabhsálaí teastas difriúil tar éis don chúltaca teacht i bhfeidhm. Is é sin an toradh ceart, agus is é an freagra é a fhíorú trí do phróiseas riaracháin iontaofa, ní úsáideoirí a mhúineadh gach rabhadh a shárú ina dhiaidh sin.

Ní chríochnaíonn an t-aisghabháil go dtí logáil isteach rathúil

Ní chríochnaíonn an t-aisghabháil nuair a fheictear éisteoir TCP. Bailíochtaigh an t-ainm DNS, céannacht an teastais agus an slabhra don ainm sin, ansin luchtaigh comhéadain ghréasáin Admin agus Client araon agus críochnaigh logáil isteach. Ní chruthaíonn seiceáil phoirt aon cheann díobh sin.

Is féidir le Access Server 3.1 agus níos déanaí teastais ghréasáin éagsúla a riar in aghaidh gach ainm óstaigh SNI. Má tá sé sin cumraithe, is sraitheanna ar leith iad na heochracha réamhshocraithe agus na hiontrálacha a bhaineann go sonrach le hainm, agus is féidir le tástáil trí sheoladh IP teastas difriúil a thaispeáint go héasca ón gceann a fhaigheann úsáideoirí. Deisigh agus bailíochtaigh an tsraith don ainm a theip, agus déan an tástáil logála isteach arís sula ndúnfar an eachtra.