SoftEther ServerCertSet: shigar da sabuwar sarkar da vpncmd

Certbot na bayar da rahoton sabuntawa mai nasara, fayilolin da ke kan faifai suna ɗauke da sabbin kwanaki, kuma abokan ciniki har yanzu suna saduwa da tsohon asali. SoftEther yana riƙe da takardar shaidar SSL ta uwar garke a cikin namansa na matakin uwar garke, don haka sabon fayil a kan faifai ba ya canza kome har sai an shigar da ganye da maɓallinsa. Jerin da ke ƙasa ya ƙunshi shigarwa ɗaya da hannu, mai naɗewa da ke gudana bayan kowace sabuntawa, da kuma dubawa da ke karanta abin da mai sauraro ke gabatarwa a zahiri. Kowace mataki tana barin hujjoji da za ku iya kwatantawa bayan sabuntawa ta gaba.

Sabon fayil ba ya canza asalin uwar garke

Bayarwa da turawa abubuwa ne daban-daban da hanyoyin gazawa daban-daban. Abokin ciniki na ACME yana rubuta fayiloli a cikin babban fayil na layi kuma yana rubuta nasara; SoftEther na ci gaba da amfani da takardar shaidar da aka yi lodi a karo na ƙarshe a cikin namansa. Don haka matsayin fita na sifili yana bayyana fayilolin, ba sabis ɗin ba, kuma biyun na iya rashin jituwa muddin babu wanda ya duba. Ɗauki shigarwa a matsayin matakin turawa kuma sabuntawa a matsayin shigar da ita.

Wannan bambance-bambance yana kuma bayyana rabin gazawar mai rikitarwa: tsohuwar takardar shaidar tana ci gaba da aiki har zuwa ƙarewarta, don haka da farko babu abin da ya zama karyayye. Idan ta ƙare, dukkan abokan ciniki suna gazawa lokaci ɗaya, wanda ke kama da katsewa maimakon matakin turawa da aka tsallake. Duba asalin da aka gabatar bayan kowace sabuntawa yana mai da wannan mamaki zuwa lura ta yau da kullum.

Zaɓi ƙalubalen da ya dace da mai sauraro

Takardar shaidar dole ta ambaci uwar gidan da abokan ciniki ke tantancewa, don haka yi amfani da sunan DNS na jama'a maimakon alama ta ciki ko adireshi. HTTP-01 yana buƙatar a amsa ƙalubalen a tashar 80 na ɗan lokaci, wanda mai sauraro ne na wucin gadi kuma ba dalili ba ne na motsa tashar SoftEther kanta. DNS-01 yana tabbatar da iko ta hanyar rikodin kuma ba ya buƙatar HTTP mai shigowa kwata-kwata.

Sabuntawa ba tare da kulawa ba tana nufin haɗin DNS mai sarrafa kansa da shaidar da aka iyakance ga yanki ɗaya, ba rikodin TXT da ake bugawa da hannu kowace watanni biyu ba. Wildcard yana canza nau'in ƙalubale, ba buƙatar wannan sarrafa ba. Yanke shawara kan wannan kafin takardar shaidar farko ta wanzu, domin canza nau'in ƙalubale daga baya yana nufin taɓa naman abokin ciniki da bangon wuta tare.

Ka riƙe kayan aikin a tsari yayin da kake nan. Ganye da na tsakiya suna zuwa a matsayin fayiloli daban-daban da kuma fayil ɗin sarka gauraye, maɓallin sirri kuma daban, kuma shigarwa tana buƙatar sarkar tare da maɓallin da ya dace da ita ba takardar shaidar jama'a ita kaɗai ba.

Shigar da sarkar a matakin uwar garke

Yi ajiyar naman uwar garke kuma tabbatar cewa har yanzu kana iya isa ga hanyar gudanarwa kafin ka taɓa takardar shaidar. Haɗa a matsayin mai kula da uwar garke ba mai kula da Virtual Hub ba, domin takardar shaidar na gefen abin uwar garke ne. Sannan yi lodi da sarkar da maɓalli ta cikakkiyar hanya, daga fayilolin da asusun da ke gudanar da umarnin zai iya karantawa. Lura cewa hanyoyin cikakke ne domin umarnin yana warware su daga babban fayil ɗin aiki na tsarin da ya gudanar da vpncmd:

ServerCertSet /LOADCERT:/etc/letsencrypt/live/vpn.example.com/fullchain.pem /LOADKEY:/etc/letsencrypt/live/vpn.example.com/privkey.pem

Karanta fitowar umarnin maimakon ɗauka nasara, sannan karanta sarkar baya maimakon amincewa da fayil ɗin da ka bayar. Iyakar tsakanin gine-ginen da ke shigar da cikakken tarin PEM da gine-ginen da ke ɗaukar takardar shaidar farko kawai ba a rubuta ta a wuri ɗaya ba, don haka dubawa ce ke warware ta ga ginin da ke gabanka. Ƙidaya takardun shaidar da mai sauraro ke gabatarwa; ganye marar tsakiya shine sa hannun mai shigarwa da ya cinye ginin farko kawai.

Riƙe maɓallin da aka shigar da shi abin karantawa ga asusun da ke gudanar da uwar garke kawai, kuma riƙe kalmar sirrin gudanarwa daga tarihin harsashi. Ga wannan shigarwa ta farko, rubuta kalmar sirrin a kan tambaya maimakon ba da ita a matsayin hujjar umarni. Waɗannan ɗabi'u biyu ba su da tsada kuma suna cire hanyar da ta fi yawa da turawar takardar shaidar ke tona abin da ya kamata ta kare. Yi hakan kafin shigarwa ta farko, ba bayanta ba.

Haɗa turawa, ba sabuntawa ba

Da zarar shigar da hannu ya yi aiki, saka daidai waɗannan matakai a cikin ƙaramin mai naɗewa kuma ka kira shi daga abokin ciniki na ACME bayan sabuntawa mai nasara. Certbot yana saita RENEWED_LINEAGE da RENEWED_DOMAINS ga ƙugiya, don haka mai naɗewa zai iya aiki a kan takardar shaidar ɗaya a kan na'urar da ke kula da da yawa. Tace bisa layi maimakon mayar da martani ga kowace sabuntawa a kan uwar gida. Mai naɗewa code ne na turawa da ke gudana da ikon uwar garke, don haka duba shi kamar kowane rubutun a wannan matsayi.

certbot renew --deploy-hook /usr/local/sbin/softether-deploy.sh

Ƙugiya da ke gudana ba tare da kulawa ba tana buƙatar ajiyar shaidar sirri da aka kare da nata da kuma siginar gazawa da ke isa ga mutum. Idan bayarwa ya yi nasara kuma shigarwa ya kasa, sake gwada shigarwa maimakon neman wata takardar shaidar, domin buƙata ta biyu tana ɓoye lahani na turawa a bayan sabon fayil. Takardun sabuntawa na Certbot sun bayyana sarai cewa gudu da bai sabunta kome ba sakamako ne na al'ada, don haka ƙugiya ce ke bambance biyun.

Kwatanta sarkar da aka gabatar da fayil ɗin

Karanta mai sauraro, ba faifai ba. Haɗa da tashar da ke fuskantar abokan ciniki da sunan uwar garke da abokan ciniki ke amfani da shi, sannan kwatanta sawun yatsa da sarkar da aka bayar da layin da ƙugiya ta girka. Umarni biyu suna rufe shi, kuma na farko yana kuma nuna ko na tsakiya suna zuwa kwata-kwata:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | grep -c 'BEGIN CERTIFICATE'
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -fingerprint -sha256

Sannan yi sabuwar hanyar haɗin abokin ciniki, domin zama da aka kafa kafin shigarwa an tabbatar da su ne da tsohon asali kuma ba su tabbatar da kome game da sabon ba. Idan abokan ciniki sun manne da tsohon ganye, suna buƙatar sabuntawa mai haɗin kai ko da sarkar jama'a tana da inganci, kuma wannan aikin na cikin littafin gudanarwa ɗaya da sabuntawa. Proxy mai juyi a gaban sabis ɗin zai iya gabatar da kyakkyawar takardar shaidar yayin da mai sauraron VPN har yanzu yana riƙe da tsohuwar, kuma shi ya sa dubawa dole ta ambaci tashar da abokan ciniki ke isa a zahiri. Rubuta sawun yatsa kusa da ranar sabuntawa, domin kwatanci na gaba ya zama dubawa ba aikin tunawa ba.