SoftEther ServerCertSet: an tslabhra athnuaite a iompórtáil le vpncmd

Tuairiscíonn Certbot athnuachan rathúil, tá dátaí nua ar na comhaid ar an diosca, agus tagann cliaint fós ar an seanfhéiniúlacht. Coinníonn SoftEther a dheimhniú SSL freastalaí ina chumraíocht féin ar leibhéal an fhreastalaí, mar sin ní athraíonn comhad nua ar an diosca dada go dtí go n-iompórtáiltear an duilleog agus a heochair. Clúdaíonn an seicheamh thíos iompórtáil láimhe amháin, fillteán a ritheann tar éis gach athnuachana, agus seiceáil a léann an rud a chuireann an t-éisteoir i láthair i ndáiríre. Fágann gach céim fianaise ar féidir leat comparáid a dhéanamh léi tar éis na chéad athnuachana eile.

Ní athraíonn comhad athnuaite féiniúlacht an fhreastalaí

Is imeachtaí ar leith iad eisiúint agus imscaradh le modhanna teipe ar leith. Scríobhann cliant ACME comhaid isteach i bhfillteán líne agus taifeadann sé rath; leanann SoftEther ag úsáid an deimhnithe a lódáiltear isteach ina chumraíocht is déanaí. Mar sin déanann stádas scoir nialasach cur síos ar na comhaid, ní ar an tseirbhís, agus is féidir leis an dá rud teacht salach ar a chéile fad is nach bhféachann aon duine. Caith leis an iompórtáil mar chéim an imscartha agus leis an athnuachan mar a hionchur.

Míníonn an t-idirdhealú sin an leath-theip chonspóideach freisin: oibríonn an seandeimhniú go dtí go dtéann sé in éag, mar sin ní fheictear aon rud briste ar dtús. Nuair a théann sé in éag, teipeann gach cliant ag an am céanna, rud a fhéachann le briseadh seirbhíse seachas céim imscartha a cailleadh. Má sheiceáiltear an fhéiniúlacht a chuirtear i láthair tar éis gach athnuachana, déantar breathnóireacht rialta den iontas sin.

Roghnaigh an dúshlán a fheileann don éisteoir

Caithfidh an deimhniú ainmniú a dhéanamh ar an óstríomhaire a fhíoraíonn cliaint, mar sin úsáid an t-ainm DNS poiblí seachas lipéad inmheánach nó seoladh. Teastaíonn ó HTTP-01 go bhfreagrófaí an dúshlán ar phort 80 ar feadh nóiméid, is éisteoir sealadach é sin agus ní cúis riamh le port SoftEther féin a bhogadh. Cruthaíonn DNS-01 smacht trí thaifead agus ní gá aon HTTP isteach ar chor ar bith.

Ciallaíonn athnuachan gan duine comhtháthú DNS uathoibrithe le dintiúir teoranta don aon chrios, ní taifead TXT a chlóscríobhtar de láimh gach cúpla mí. Athraíonn saoróg cineál an dúshláin, ní an gá atá leis an uathoibriú sin. Socraigh é seo sula mbeidh an chéad deimhniú ann, mar ciallaíonn athrú ar chineál an dúshláin níos déanaí cumraíocht an chliaint agus an balla dóiteáin a bhaint le chéile.

Coinnigh na déantáin in eagar fad a bhíonn tú anseo. Tagann an duilleog agus na deimhnithe idirmheánacha mar chomhaid ar leith agus mar aon chomhad slabhra comhcheangailte, tá an eochair phríobháideach ar leith arís, agus teastaíonn an tslabhra lena heochair mheaitseála ón iompórtáil, ní deimhniú poiblí ann féin.

Iompórtáil an tslabhra ag leibhéal an fhreastalaí

Déan cúltaca de chumraíocht an fhreastalaí agus deimhnigh gur féidir leat an comhéadan bainistíochta a shroicheadh fós sula mbaineann tú leis an deimhniú. Ceangail mar riarthóir freastalaí seachas mar riarthóir Virtual Hub, mar is leis an réad freastalaí an deimhniú. Ansin lódáil an tslabhra agus an eochair ar chonair iomlán, ó chomhaid ar féidir leis an gcuntas a ritheann an t-ordú iad a léamh. Tabhair faoi deara go bhfuil na conairí iomlán mar réitíonn an t-ordú iad ó eolaire oibre an phróisis a rith vpncmd:

ServerCertSet /LOADCERT:/etc/letsencrypt/live/vpn.example.com/fullchain.pem /LOADKEY:/etc/letsencrypt/live/vpn.example.com/privkey.pem

Léigh aschur an ordaithe seachas rath a ghlacadh leis, agus ansin léigh an tslabhra ar ais seachas muinín a bheith agat as an gcomhad a thug tú. Níl an teorainn idir buildí a iompórtálann beart PEM iomlán agus buildí nach dtógann ach an chéad deimhniú doiciméadaithe in aon áit amháin, mar sin is í an tseiceáil a shocraíonn é don build atá os do chomhair. Comhair na deimhnithe a chuireann an t-éisteoir i láthair; is é síniú iompórtálaí nach n-úsáideann ach an chéad bhloc duilleog gan idirmheánacha.

Coinnigh an eochair iompórtáilte inléite ag an gcuntas a ritheann an freastalaí amháin, agus coinnigh pasfhocal na bainistíochta as stair an scealla. Don chéad iompórtáil seo, clóscríobh an pasfhocal ag an leid seachas é a chur ar aghaidh mar argóint ordaithe. Ní chosnaíonn an dá nós sin aon rud agus baintear an bealach is coitianta a sceitheann imscaradh deimhnithe rud a bhí le cosaint aige. Déan é sin roimh an gcéad iompórtáil, ní ina dhiaidh.

Cuir an t-imscaradh i gceangal, ní an athnuachan

Nuair a oibríonn an iompórtáil láimhe, cuir na céimeanna sin go beacht i bhfillteán beag agus glaoigh air ón cliant ACME tar éis athnuachana rathúla. Socraíonn Certbot RENEWED_LINEAGE agus RENEWED_DOMAINS don chrúca, mar sin is féidir leis an bhfillteán gníomhú ar aon deimhniú amháin ar mheaisín a bhainistíonn roinnt. Déan scagadh ar an líne seachas freagairt do gach athnuachan ar an óstríomhaire. Is cód imscartha é an fillteán a ritheann le pribhléidí an fhreastalaí, mar sin déan é a athbhreithniú mar aon script eile san áit sin.

certbot renew --deploy-hook /usr/local/sbin/softether-deploy.sh

Teastaíonn ó chrúca a ritheann gan duine a stór dintiúr cosanta féin agus comhartha teipe a shroicheann duine. Má éiríonn leis an eisiúint agus má theipeann ar an iompórtáil, déan an iompórtáil a ath-thriail seachas deimhniú eile a iarraidh, mar cheileann dara iarraidh an locht imscartha taobh thiar de chomhad nua. Deir doiciméadú athnuachana Certbot go soiléir gur gnáththoradh é rith nach nuashonraíonn aon rud, mar sin is é an crúca a dhéanann idirdhealú idir an dá rud.

Cuir an tslabhra a chuirtear i láthair i gcomparáid leis an gcomhad

Léigh an t-éisteoir, ní an diosca. Ceangail leis an bport atá dírithe ar chliaint leis an ainm freastalaí a úsáideann na cliaint, ansin cuir an mhéarlorg agus an tslabhra a seachadadh i gcomparáid leis an líne a shuiteáil an crúca. Clúdaíonn dhá ordú é, agus taispeánann an chéad cheann freisin an dtagann idirmheánacha ar chor ar bith:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | grep -c 'BEGIN CERTIFICATE'
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -fingerprint -sha256

Ansin déan nasc cliaint úr, mar fíoraíodh seisiúin a bunaíodh roimh an iompórtáil i gcoinne na féiniúlachta roimhe seo agus ní chruthaíonn siad aon rud faoin gceann nua. Má phionnálann cliaint an tseanduilleog, teastaíonn uasdátú comhordaithe uathu fiú nuair atá an tslabhra phoiblí bailí, agus baineann an tasc sin leis an runbook céanna leis an athnuachan. Is féidir le seachfhreastalaí cúil os comhair na seirbhíse deimhniú maith a chur i láthair agus an t-éisteoir VPN fós ag an seancheann, agus is mithid sin go gcaithfidh an tseiceáil an port a ainmniú a shroicheann cliaint i ndáiríre. Scríobh an mhéarlorg in aice leis an dáta athnuachana, ionas gur seiceáil a bheidh sa chéad chomparáid eile seachas gníomh cuimhne.