Por que reimportar un certificado de Client VPN require un novo punto de conexión

Unha conexión de Client VPN rompe, o certificado en ACM substitúese e nada cambia. O obxecto do certificado nunca foi o que usaba o punto de conexión. Un punto de conexión garda ao crearse unha asociación cun certificado, xunto coa CA de cliente contra a que validará, o tipo de autenticación, as subredes e as regras de autorización, e ningunha desas asociacións ten unha chamada de modificación que acepte un certificado de substitución. Substituír os bytes detrás dun ARN é un cambio no certificado, non no punto de conexión que o capturou.

O punto de conexión garda referencias, non certificados

Paga a pena enunciar o mecanismo con precisión porque explica todo o fallo. create-client-vpn-endpoint toma o ARN dun certificado de servidor e o ARN dunha cadea de certificados raíz de cliente, e o punto de conexión resultante conserva esas referencias xunto coas opcións de autenticación como propiedades fixas. A superficie da API non ofrece ningunha operación que cambie o certificado de servidor nun punto de conexión existente.

Pode confirmar a vinculación sen adiviñar. aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 imprime o ARN do certificado, o ARN da cadea raíz do cliente, o tipo de autenticación, o CIDR do cliente e as subredes asociadas, que é o conxunto completo de propiedades que tería que reproducir. Execúteo antes e despois dunha reimportación e a saída non se move. Esa é a proba de que a reimportación nunca ía axudar.

Por que unha reimportación non pode chegar ao punto de conexión

Unha reimportación escribe un corpo de certificado novo baixo un ARN existente. É unha operación lexítima cando un certificado está preto de caducar, e ACM aceptaraa sempre que a clave privada coincida e a cadea valide. O que non fai é volver executar a validación do momento de creación do punto de conexión, así que a asociación e o material que hai detrás quedan como estaban cando se construíu o punto de conexión.

Por iso tamén o síntoma se le como un fallo de rede. A aperta de mans TLS falla ou reiníciase antes de que a autorización chegue a avaliarse, así que os grupos de seguridade, as rutas e as regras de autorización parecen inocentes, e o son.

A cadea forma parte do certificado de cliente

A segunda metade do fallo está no certificado de cliente, e é máis doado de descartar. Un certificado de cliente debe importarse coa cadea que o emitiu, aínda que o formulario de importación presenta ese campo como opcional. Sen a cadea o punto de conexión non pode construír un camiño desde o certificado de cliente ata a CA raíz de cliente coa que se configurou, e a conexión remata nun reinicio suave que soa como un cortafogos que descarta paquetes. openssl verify -CAfile root-ca.pem client.crt responde esa pregunta localmente nun segundo, e debería ser o primeiro comando que execute.

Reimportar coa cadea é unha corrección real para esa metade, e segue sen ser suficiente por si soa. Unha vez que o obxecto de ACM cambiou, o punto de conexión que conserva a asociación antiga é o equivocado contra o que seguir probando. Ambos os pasos pertencen á mesma reparación, por iso a corrección en dúas partes non é unha contradición.

Recrear un punto de conexión é unha migración

Crear un punto de conexión de substitución é unha migración, non un reintento, e tratalo como un reintento é como os equipos acaban con dous puntos de conexión a medio configurar. O punto de conexión novo recibe un ID novo e, salvo que o planificase, un nome DNS novo para cada usuario. Manteña o perfil de cliente apuntando a un nome en lugar de a un enderezo, para que o cambio sexa unha modificación de rexistro e non unha redistribución.

A orde que mantén isto seguro é curta: cree o punto de conexión novo co mesmo CIDR, as mesmas subredes e as mesmas regras de autorización, exporte un perfil novo con aws ec2 export-client-vpn-client-configuration e verifique cun usuario. Só despois baixa o punto de conexión antigo.

Retirar o punto de conexión antigo ten a súa propia orde. Revogue os certificados de cliente que pensaba retirar antes de borralo, porque un punto de conexión novo que aínda confía na CA antiga segue aceptando certificados que vostede cría desaparecidos. Despois borre o punto de conexión antigo e elimine as súas regras de autorización, para que un perfil obsoleto non poida reconectarse a unha rede de destino que vostede cría pechada. Escriba o ID do punto de conexión antigo e os identificadores de asociación no rexistro de cambios, porque unha migración comparada coa memoria é como un punto de conexión que funciona se reconstrúe dúas veces.

Ordene o diagnóstico

Separe tres fallos antes de cambiar calquera configuración. O cliente non pode completar TLS, o cliente completa TLS e non está autorizado, ou o cliente conéctase e non alcanza un destino. A asociación de certificado pertence ao primeiro, unha regra de autorización que non cobre o enderezo do cliente pertence ao segundo, e unha ruta ou un grupo de seguridade pertence ao terceiro, onde recrear un punto de conexión case sempre é o movemento equivocado.

Un punto de conexión que funcionou durante meses e despois parou, sen ningún cambio de certificado nin de política, é un caso aparte. Reconstruílo coa mesma configuración pode restaurar o servizo, pero iso é unha razón para manter a configuración reproducible, non unha razón para reconstruír en cada incidente.

Manteña catro cousas baixo control de versións para que a próxima reconstrución sexa un diff e non unha improvisación: os parámetros do punto de conexión, os ARN do certificado e da cadea, as regras de autorización e o CIDR do cliente. A documentación de autenticación de Client VPN enumera que certificado desempeña que papel, algo que paga a pena comprobar antes de supor que un certificado é o problema. Se unha reimportación non cambia nada e o punto de conexión segue reiniciándose, a asociación é a sospeitosa e a resposta é un punto de conexión novo construído cos parámetros rexistrados. Se o punto de conexión si recolle o obxecto novo, a asociación xa era correcta e o fallo está na cadea do cliente ou na capa de autorización.