Me ya sa sake shigar da takardar shaidar Client VPN ke buƙatar sabon wurin ƙarshe

Haɗin Client VPN ya karye, an maye gurbin takardar shaida a cikin ACM, kuma babu abin da ya canza. Abun takardar shaida bai taɓa zama abin da wurin ƙarshe ke amfani da shi ba. Wurin ƙarshe yana ajiye alaƙa da takardar shaida lokacin ƙirƙira, tare da CA na abokin ciniki da zai tabbatar da ita, nau’in tabbatarwa, subnets da dokokin izini, kuma babu ɗaya daga cikin waɗannan alaƙar da ke da kiran gyara da ke karɓar maye gurbin takardar shaida. Maye gurbin bytes da ke bayan ARN canji ne a takardar shaida, ba a wurin ƙarshen da ya kama ta ba.

Wurin ƙarshe yana ajiye nassoshi, ba takardu na shaida ba

Ya kamata a faɗi wannan tsarin daidai domin yana bayyana dukan gazawar. create-client-vpn-endpoint yana ɗaukar ARN na takardar shaidar uwar garke da ARN na sarƙar takardar shaidar tushe ta abokin ciniki, kuma wurin ƙarshen da ya samu yana riƙe waɗannan nassoshi tare da zaɓuɓɓukan tabbatarwa a matsayin halayen da ba sa canzawa. API ɗin ba ya bayar da wani aiki da ke musanya takardar shaidar uwar garke a wurin ƙarshen da ke akwai.

Kuna iya tabbatar da alaƙar ba tare da yin hasashe ba. aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 yana buga ARN na takardar shaida, ARN na sarƙar tushe ta abokin ciniki, nau’in tabbatarwa, CIDR na abokin ciniki da subnets masu alaƙa, wanda shine cikakken jerin halayen da za ku sake ƙirƙira. Gudanar da shi kafin da bayan sake shigowa kuma fitarwar ba za ta motsa ba. Wannan ita ce hujjar cewa sake shigowa ba za ta taɓa taimakawa ba.

Me ya sa sake shigowa ba za ta iya isa wurin ƙarshe ba

Sake shigowa yana rubuta sabon jikin takardar shaida ƙarƙashin ARN da ke akwai. Wannan aiki ne na halal lokacin da takardar shaida ta kusa ƙarewa, kuma ACM za ta karɓe shi muddin maɓallin sirri ya yi daidai kuma sarƙar ta tabbata. Abin da ba ya yi shi ne sake gudanar da tabbatarwar lokacin ƙirƙirar wurin ƙarshe, don haka alaƙar da abin da ke bayanta sun kasance kamar yadda suke lokacin da aka gina wurin ƙarshe.

Wannan kuma shine dalilin da ya sa alamar ta ke kama da gazawar hanyar sadarwa. Musafahar TLS tana gazawa ko tana sake saitawa kafin a taɓa tantance izini, don haka ƙungiyoyin tsaro, hanyoyi da dokokin izini duk suna kama da marasa laifi, kuma haka suke.

Sarƙar wani ɓangare ne na takardar shaidar abokin ciniki

Rabin gazawar na biyu yana cikin takardar shaidar abokin ciniki, kuma yana da sauƙin watsi da shi. Dole ne a shigo da takardar shaidar abokin ciniki tare da sarƙar da ta fitar da ita, ko da yake fom ɗin shigowa yana nuna wannan filin a matsayin na zaɓi. Idan babu sarƙar, wurin ƙarshe ba zai iya gina hanya daga takardar shaidar abokin ciniki zuwa CA tushe ta abokin ciniki da aka saita shi da ita ba, kuma haɗin yana ƙarewa da sake saiti mai laushi wanda ke kama da Tacewar zaɓi da ke jefar da fakiti. openssl verify -CAfile root-ca.pem client.crt yana amsa wannan tambayar a gida cikin daƙiƙa ɗaya, kuma ya kamata ya zama umarnin farko da za ku gudanar.

Sake shigowa tare da sarƙar gyara ne na gaske ga wannan rabin, kuma har yanzu bai isa shi kaɗai ba. Da zarar abun ACM ya canza, wurin ƙarshen da ke riƙe tsohuwar alaƙar shine abin da ba daidai ba don ci gaba da gwadawa. Dukan matakan biyu na cikin gyara ɗaya ne, wanda shine dalilin da ya sa gyaran sassa biyu ba saɓani ba ne.

Sake ƙirƙirar wurin ƙarshe ƙaura ce

Ƙirƙirar wurin ƙarshen maye gurbi ƙaura ce, ba sake gwadawa ba, kuma ɗaukarsa a matsayin sake gwadawa shine yadda ƙungiyoyi ke ƙarewa da wuraren ƙarshe biyu da rabin saitin. Sabon wurin ƙarshe yana samun sabon ID kuma, idan ba ku shirya ba, sabon sunan DNS ga kowane mai amfani. Riƙe bayanin martabar abokin ciniki yana nuni ga suna maimakon adireshi domin musanya ya zama canjin rikodi maimakon sake rarrabawa.

Tsarin da ke kiyaye wannan lafiya gajere ne: ƙirƙiri sabon wurin ƙarshe da CIDR ɗaya, subnets da dokokin izini ɗaya, fitar da sabon bayanin martaba da aws ec2 export-client-vpn-client-configuration, kuma tabbatar da mai amfani ɗaya. Bayan haka ne kawai tsohon wurin ƙarshe ke sauka.

Janye tsohon wurin ƙarshe yana da nasa tsari. Soke takardun shaidar abokin ciniki da kuka yi niyyar janyewa kafin ku share shi, domin sabon wurin ƙarshen da har yanzu ya amince da tsohuwar CA yana ci gaba da karɓar takaddun da kuka yi tsammanin sun tafi. Sannan share tsohon wurin ƙarshe kuma cire dokokinsa na izini, domin tsohon bayanin martaba ba zai iya sake haɗawa da hanyar sadarwar da kuka yi tsammanin an rufe ba. Rubuta ID ɗin tsohon wurin ƙarshe da masu gano alaƙa a cikin rikodin canji, domin ƙaura da aka kwatanta da ƙwaƙwalwa ita ce hanyar da ake sake gina wurin ƙarshe mai aiki sau biyu.

Tsara ganewar asali

Raba gazawa uku kafin canza kowane saiti. Abokin ciniki ba zai iya kammala TLS ba, abokin ciniki ya kammala TLS amma ba shi da izini, ko abokin ciniki ya haɗu kuma ba zai iya isa wurin da ake nufi ba. Alaƙar takardar shaida ta farko ce, dokar izini da ba ta rufe adireshin abokin ciniki ta biyu ce, kuma hanya ko ƙungiyar tsaro ta uku ce, inda sake ƙirƙirar wurin ƙarshe kusan koyaushe shine matakin da ba daidai ba.

Wurin ƙarshen da ya yi aiki tsawon watanni sannan ya tsaya, ba tare da wani canjin takardar shaida ko manufa ba, lamari ne na kansa. Sake gina shi da saituna iri ɗaya na iya dawo da sabis ɗin, amma wannan dalili ne na riƙe saitin a iya sake ƙirƙira, ba dalilin sake ginawa a kowane lamari ba.

Riƙe abubuwa huɗu a ƙarƙashin kulawar juzu’i domin sake ginawa na gaba ya zama diff maimakon ƙage: sigogin wurin ƙarshe, ARN ɗin takardar shaida da sarƙa, dokokin izini da CIDR na abokin ciniki. Takardun tabbatarwa na Client VPN suna lissafa wace takardar shaida ke taka wace rawa, abin da ya cancanci dubawa kafin ku ɗauka cewa takardar shaida ita ce matsalar kwata-kwata. Idan sake shigowa bai canza kome ba kuma wurin ƙarshe yana sake saitawa, alaƙar ita ce wanda ake zargi kuma amsar ita ce sabon wurin ƙarshe da aka gina daga sigogin da aka rubuta. Idan wurin ƙarshen ya karɓi sabon abun, alaƙar ta riga ta kasance daidai kuma laifin yana cikin sarƙar abokin ciniki ko tsarin izini.