Cén fáth a dteastaíonn críochphointe nua chun deimhniú Client VPN a athiompórtáil

Briseann nasc Client VPN, cuirtear deimhniú in ACM ina ionad, agus ní athraíonn aon rud. Níorbh é an réad deimhnithe riamh an rud a bhí á úsáid ag an gcríochphointe. Stórálann críochphointe comhlachas le deimhniú ag am a chruthaithe, mar aon leis an CA cliaint a ndéanfaidh sé bailíochtú ina choinne, an cineál fíordheimhnithe, na fo-líonraí agus na rialacha údaraithe, agus níl glao mionathraithe ag aon cheann de na comhlachais sin a ghlacann deimhniú ionaid. Is athrú ar an deimhniú é na bearta taobh thiar de ARN a ionadú, ní ar an gcríochphointe a ghabh é.

Stórálann an críochphointe tagairtí, ní deimhnithe

Fúi an mheicníocht a lua go beacht mar míníonn sé an mhainneachtain ar fad. Tógann create-client-vpn-endpoint ARN deimhnithe freastalaí agus ARN slabhra deimhnithe fréimhe cliaint, agus coimeádann an críochphointe a thagann as na tagairtí sin mar aon leis na roghanna fíordheimhnithe mar airíonna seasta. Ní thairgeann dromchla an API aon oibríocht a mhalartaíonn an deimhniú freastalaí ar chríochphointe atá ann cheana.

Is féidir leat an comhlachas a dheimhniú gan buille faoi thuairim. Priontálann aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 ARN an deimhnithe, ARN slabhra fréimhe an chliaint, an cineál fíordheimhnithe, CIDR an chliaint agus na fo-líonraí gaolmhara, arb é an tacar iomlán airíonna é a chaithfeá a atáirgeadh. Rith é roimh athiompórtáil agus ina diaidh agus ní bhogann an t-aschur. Sin an fhianaise nach raibh an athiompórtáil riamh chun cabhrú.

Cén fáth nach féidir le hathiompórtáil an críochphointe a shroicheadh

Scríobhann athiompórtáil comhlacht deimhnithe nua faoi ARN atá ann cheana. Is oibríocht dhleathach é sin nuair a bhíonn deimhniú gar do dhul in éag, agus glacfaidh ACM leis chomh fada agus a mheaitseálann an eochair phríobháideach agus a dhéanann an slabhra bailíochtú. Rud nach ndéanann sé is bailíochtú am cruthaithe an chríochphointe a athrith, mar sin fanann an comhlachas agus an t-ábhar taobh thiar de mar a bhí siad nuair a tógadh an críochphointe.

Sin é an fáth freisin go léann an tsíomptóm mar locht líonra. Teipeann ar an gcroith láimhe TLS nó athshocraítear é sula ndéantar an t-údarú a mheas ar chor ar bith, mar sin breathnaíonn grúpaí slándála, bealaí agus rialacha údaraithe go léir neamhchiontach, agus tá siad.

Tá an slabhra mar chuid de dheimhniú an chliaint

Tá an dara leath den mhainneachtain i ndeimhniú an chliaint, agus is fusa é a chur uait. Ní mór deimhniú cliaint a iompórtáil leis an slabhra a d’eisigh é, cé go gcuireann an fhoirm iompórtála an réimse sin i láthair mar rud roghnach. Gan an slabhra ní féidir leis an gcríochphointe cosán a thógáil ó dheimhniú an chliaint go dtí an CA fréimhe cliaint a raibh sé cumraithe leis, agus críochnaíonn an nasc le hathshocrú bog a léann mar bhalla dóiteáin ag ligean paicéid chun siúil. Freagraíonn openssl verify -CAfile root-ca.pem client.crt an cheist sin go háitiúil i soicind, agus ba cheart gurb é an chéad ordú a ritheann tú.

Is fíorcheartú é athiompórtáil leis an slabhra don leath sin, agus ní leor fós é as féin. Nuair a bheidh réad ACM athraithe, is é an críochphointe a choinníonn an sean-chomhlachas an rud micheart le leanúint ag tástáil ina choinne. Baineann an dá chéim leis an deisiú céanna, agus sin é an fáth nach contrárthacht é an ceartú dhá chuid.

Is imirce é críochphointe a athchruthú

Is imirce é críochphointe ionaid a chruthú, ní iarracht nua, agus is é a chaithfear leis mar iarracht nua an bealach a chríochnaíonn foirne le dhá chríochphointe leathchumraithe. Faigheann an críochphointe nua ID nua agus, mura raibh sé beartaithe agat, ainm DNS nua do gach úsáideoir. Coinnigh próifíl an chliaint ag pointeáil chuig ainm seachas chuig seoladh, ionas gur athrú taifead a bheidh sa mhalartú seachas athdháileadh.

Tá an t-ord a choinníonn seo sábháilte gearr: cruthaigh an críochphointe nua leis an CIDR céanna, na fo-líonraí céanna agus na rialacha údaraithe céanna, easpórtáil próifíl úr le aws ec2 export-client-vpn-client-configuration, agus fíoraigh le húsáideoir amháin. Is ansin amháin a thagann an sean-chríochphointe anuas.

Tá a ord féin ag scoir an tsean-chríochphointe. Cúlghair na deimhnithe cliaint a bhí le scor agat sula scriosann tú é, mar leanann críochphointe nua a bhfuil muinín aige fós as an sean-CA ag glacadh deimhnithe a cheap tú a bhí imithe. Ansin scrios an sean-chríochphointe agus bain a rialacha údaraithe, ionas nach féidir le seanphróifíl athcheangal le líonra sprice a cheap tú a bhí dúnta. Scríobh ID an tsean-chríochphointe agus aitheantóirí an chomhlachais sa taifead athraithe, mar is é an imirce a chuirtear i gcomparáid leis an gcuimhne an bealach a ndéantar críochphointe oibre a atógáil faoi dhó.

Ordaigh an diagnóis

Deighil trí mhainneachtain sula n-athraíonn tú aon chumraíocht. Ní féidir leis an gcliaint TLS a chríochnú, críochnaíonn an cliaint TLS agus níl sé údaraithe, nó ceanglaíonn an cliaint agus ní shroicheann sé ceann scríbe. Baineann comhlachas deimhnithe leis an gcéad cheann, baineann riail údaraithe nach gclúdaíonn seoladh an chliaint leis an dara ceann, agus baineann bealach nó grúpa slándála leis an tríú ceann, áit a bhfuil athchruthú críochphointe beagnach i gcónaí mar an ghluaiseacht mhícheart.

Is cás ar leith é críochphointe a d’oibrigh ar feadh míonna agus a stop ansin, gan aon athrú deimhnithe ná polasaí. D’fhéadfadh atógáil le socruithe comhionanna an tseirbhís a athbhunú, ach is cúis é sin le cumraíocht a choinneáil in-atáirgthe, ní cúis le hatógáil ag gach eachtra.

Coinnigh ceithre rud faoi rialú leaganacha ionas gur diff é an chéad atógáil eile seachas rud a chumtar ar an láthair: paraiméadair an chríochphointe, ARN an deimhnithe agus an tslabhra, na rialacha údaraithe agus CIDR an chliaint. Liostaíonn doiciméadú fíordheimhnithe Client VPN cén deimhniú a imríonn cén ról, rud is fiú a sheiceáil sula nglacann tú leis gurb é deimhniú an fhadhb ar chor ar bith. Mura n-athraíonn athiompórtáil aon rud agus go n-athshocraíonn an críochphointe fós, is é an comhlachas an t-amhras agus is é an freagra críochphointe nua tógtha ó na paraiméadair thaifeadta. Má ghlacann an críochphointe leis an réad nua i ndáiríre, bhí an comhlachas ceart cheana féin agus tá an locht i slabhra an chliaint nó sa chiseal údaraithe.