Kuskuren takardar shaidar yanar gizo a Access Server: kunshin CA mara komai

Darajar ca_bundle mara komai ko PEM mara kyau na tsayar da Admin. Tabbatar da takarda, maballi da sarkar a matsayin saiti daya kafin sake kunnawa, kuma bar VPN PKI.

Shafin shiga yanar gizo da ba ya lodawa yayin da DNS ke aiki daidai ba matsalar DNS ba ce. Idan log ya ambaci hanyar kunshin takarda mara komai ko gazawar PEM ga takardar gizo da maballin sirri, mai sauraron HTTPS ba shi da kayan aiki, kuma warware suna ba zai taimaka. Gyaran yana cikin maballan tsari uku kuma ba ya bukatar sake bayar da takardar abokin ciniki na VPN.

Abin da maballan uku ke nuni gare shi

An bayyana saitin takardar gizo na musamman da cs.cert, cs.priv_key da cs.ca_bundle. Kowanne yana ajiye hanyar fayil, kuma sabis din yana amfani da su uku tare. Takarda da maballi mara kyau, ko fayil sarkar da shi ne takardar ganye, na gazawa kamar darajar mara komai: mai sauraro ba zai iya gina sarkar da burauza zai karba ba.

Wadannan maballan na Admin da Client ne. Sun ban da PKI da ke bayar da takardu ga abokan ciniki na VPN, don haka maye gurbinsu ba ya bukatar taba bayanan abokin ciniki, maballin uwar garke ko hukumar takardu. Daukar kuskuren TLS na gizo a matsayin dalilin sake gina dukkan PKI shi ne mafi tsada a nan.

Bambanci daya na ceton lokaci: darajar musamman mara komai ba iri daya ba ce da rashin wani maye gurbi. Na farko yana ba mai bincike hanya mara komai, abin da layin log ke fada. Na biyu yana barin Access Server a kan kayan sa, shi ya sa wasu uwar garke ke tashi lafiya bayan sabuntawa wasu kuma ba.

Me ya sa fayil da ke akwai ba ya wuce bincike

Mai bincike yana karanta sassan da aka yi wa lakabi a cikin fayil, ba sunan fayil ba. .crt mai maballin sirri, sarkar da aka rubuta a matsayin dunkule daya inda ake tsammanin takarda daya, ko fayil da aka ajiye da yanke layin karshe duk ana kin su. RFC 7468 ya bayyana wadannan lakabi domin su ne kadai ke fada wa mai karatu irin abin da ke tafe.

Duba abubuwan, ba kari ba. A kan Linux, openssl x509 -noout -subject -issuer -in server.pem da openssl pkey -noout -check -in key.pem suna amsa tambayoyi biyu masu muhimmanci, kuma kwatanta modulus ko maballin jamaa na duka biyu na tabbatar suna tare. Ka bar fitar da maballin sirri daga tikiti da log din hira; binciken yana bukatar sawun yatsa, ba maballin ba.

Hanya mara komai ta cancanci zato kamar fayil mara kyau, domin duka biyu suna haifar da kuskure mara tabbas. Idan log ya ce hanyar kunshi ba ta da komai, karanta darajar da aka ajiye kafin ka duba fayil din.

Koma zuwa madadin da gangan

CLI na Access Server yana da bincike da ke karbar hanyoyi uku a matsayin hujja kuma ya bayar da rahoton ko saitin na da amfani. Hanyoyin da ke kasa misali ne; maye gurbinsu da wuraren da aka kare a uwar garke:

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Karanta sakamakon kafin ka taba sabis din da ke gudana, sannan ka shigo da darajar kuma ka yi amfani da ita ta hanyar aikin da aka rubuta na sigar da aka saka. karatun CLI na hukuma ya kunshi tabbatarwa, shigo da shi cikin rumbun tsari da matakin amfani, kuma sigarsa ta fi kowane takaitaccen bayani muhimmanci.

Tabbatar da sunan da masu amfani ke rubutawa

Idan kayan musamman sun lalace kuma akwai ingantaccen madadin da aka gina, hanyar da aka rubuta ita ce cire maye gurbin uku ka bar Access Server ya yi amfani da madadin. Ka shirya hanyar consoles da kwafin tsarin yanzu tukuna, domin sabis din da za ka sake kunnawa shi ne ke ba da interface din gudanarwa.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Share dukkan rumbun tsari ba gyaran takarda ba ne. Ka nufi wadannan maballai uku, yi amfani, kuma tabbatar interface din gizo na amsawa. Fayilolin da aka sa wa hannu a karkashin web-ssl su ne madadin, ba wurin aiki ba: rubuta musu ko sake haifar da su na iya cire kayan da ke aiki kadai.

Yi tsammanin burauza zai nuna wata takarda bayan madadin ya yi aiki. Wannan shi ne sakamakon da ya dace, kuma amsar ita ce tabbatar da shi ta hanyar tsarin gudanarwa da ka amince da shi, ba koyar da masu amfani su tsallake kowane gargadi ba.

Farfadowa tana kammala ne bayan shiga mai nasara

Farfadowa ba ta kammala ba idan mai sauraron TCP ya bayyana. Tabbatar da sunan DNS, asalin takardar da sarkar don wannan suna, sannan ka loda Admin da Client kuma ka kammala shiga. Binciken tashar ba ya tabbatar da komai daga ciki.

Access Server 3.1 da sama na iya ba da takardun gizo daban ga kowace sunan SNI. Idan an saita haka, maballan tsoho da shigarwar suna daban-daban ne, kuma gwaji da adireshin IP na iya nuna wata takarda fiye da wadda masu amfani ke samu. Gyara kuma tabbatar da saitin sunan da ya kasa, sannan sake gwajin shiga kafin ka rufe lamarin.

Labarai masu alaƙa