Obnovljena VPN potvrda: neki klijenti ju i dalje odbijaju

Pola okruženja se ponovno povezuje nakon obnove, a tri uređaja odbijaju, svaki s upozorenjem o identitetu pristupnika. Sama obnova je rutinska. Ono što ta tri uređaja drže jest prikvačivanje na stari objekt, a prikvačivanje nije CA popis, provjera imena ni zapis u spremištu povjerenja. Usporedite tri mehanizma prije nego dodirnete bilo kojeg klijenta.

Jedna obnova, dva ponašanja

Klijenti koji se ponovno povezuju imaju odluku o povjerenju koja još prolazi, a oni koji odbijaju imaju zahtjev koji nova potvrda ne zadovoljava. Ta razlika je informacija, ne šum. Pažljivo pročitajte poruku klijenta koji ne uspijeva. Neslaganje imena, nepoznat izdavatelj i promijenjen otisak tri su različite presude, a samo posljednja upućuje na prikvačivanje.

Provjerite i koji je profil odabrao klijent koji ne uspijeva. Uvezeni primjerak koji živi u vlastitom spremištu ne mijenja se kad administrator uređuje izvornu datoteku negdje drugdje.

Obnova zamjenjuje objekt, ne samo datum

Otisak prepoznaje kodirani sadržaj potvrde. Obnova stvara novu potvrdu, pa se otisak mijenja čak i kad ime subjekta i javni ključ ostanu isti. To je očekivano i bezopasno za klijente koji vjeruju CA i provjeravaju ime. To je kobno za klijenta konfiguriranog da prihvati točno jednu potvrdu, a kobno je i za klijenta čije spremište povjerenja nikad nije dobilo novog izdavatelja.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Drugi redak odgovara na drugo pitanje: je li par ključeva preživio. Obnova koja ponovno upotrijebi ključ zadržava tu vrijednost i mijenja samo potvrdu, a to je upravo slučaj u kojem administrator lako pretpostavi da se ništa nije promijenilo. Pregledajte potvrdu koja je raspoređena, ne onu na graditeljskom hostu. Usporedba datoteke u repozitoriju dokazuje što je generirano, ne što slušatelj trenutačno predstavlja.

Pročitajte što klijent prikvačuje

Neki klijenti drže otisak u svom profilu i uspoređuju ga pri svakoj vezi. Drugi ga pohranjuju u platformsko spremište povjerenja, a treći se oslanjaju samo na CA. Popravak se razlikuje u svakom slučaju, pa prvo prepoznajte mehanizam.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Prva naredba pokazuje prikvačivanje u uobičajenom profilu; druga pokazuje otisak koji krajnja točka upravo sada poslužuje. Kad se ta dva razlikuju, locirali ste kvar bez nagađanja. Ne lijepite novu vrijednost u svakog klijenta koji se žali. Klijent koji odbija zbog izdavatelja nastavit će odbijati, a vi ćete sebi dokazati da je otisak bio problem kad nije.

Usporedite potvrdu koju poslužuje svaki backend

Isprekidani rezultati obično znače više od jedne krajnje točke, a obnova primijenjena na jednom čvoru ostavlja ostale da predstavljaju stari objekt. Usporedite svaki backend po adresi, a ne po zajedničkom imenu.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Skup u kojem jedan čvor zaostaje objašnjava klijenta koji se povezuje iz drugog pokušaja, a pada iz prvog. Objašnjava i nadzornu provjeru koja prolazi dok se korisnici žale. Prvo popravite zaostatak. Kotrljanje konfiguracije povjerenja prije nego svaki čvor poslužuje novu potvrdu stvara prozor u kojem ništa ne radi, a kotrljanje poslije ostavlja klijente da nepredvidivo padaju.

Promijenite povjerenje upravljanim putem

Potvrdite zamjenu kroz već pouzdan administrativni kanal prije nego je bilo gdje prihvatite. Vjerojatan datum isteka nije dokaz vlasništva. Ažurirajte upravljanu konfiguraciju kroz proces koji je posjeduje, s planiranim preklapanjem prihvatljivih identiteta i provjerom imena koju raspoređivanje zahtijeva. Prikvačivanje bez provjere imena slabiji je dizajn od CA povjerenja koje je zamijenilo.

Zatim provjerite po klijentu: povežite se, potvrdite identitet koji je prihvatio i zabilježite verziju potvrde kojoj sada vjeruje. Upozorenje odbačeno jednom ima običaj vratiti se kod sljedeće obnove.