Վեբ սերտիֆիկատի սխալ Access Server-ում. դատարկ CA փաթեթ

DNS-ը ճիշտ լուծվելիս չբեռնվող վեբ մուտքի էջը սովորաբար DNS խնդիր չէ։ Եթե մատյանում նշված է փաթեթի դատարկ ուղի կամ PEM վերլուծության ձախողում, HTTPS լսողը օգտագործելի նյութ չունի։ Վերանորոգումը երեք կոնֆիգուրացիոն բանալիների մեջ է, առանց VPN հաճախորդի սերտիֿիկատի վերաթողարկման։

Ինչի են իրականում մատնանշում երեք բանալիները

Հատուկ վեբ սերտիֿիկատների հավաքածուն նկարագրվում է cs.cert, cs.priv_key և cs.ca_bundle-ով։ Յուրաքանչյուրը պահում է ֆայլի ուղի, և վեբ ծառայությունը երեքն օգտագործում է միասին։ Սխալ բանալիով սերտիֿիկատը կամ տերևային սերտիֿիկատ հանդիսացող շղթան ձախողվում է ինչպես դատարկ արժեքը. լսողը չի կարող կառուցել շղթա, որը բրաուզերը կընդունի։

Այս բանալիները Admin և Client վեբ ինտերֿեյսի համար են։ Դրանք առանձին են VPN հաճախորդներին սերտիֿիկատ տվող PKI-ից, ուստի փոխարինումը չի պահանջում դիպչել պրոֿիլներին կամ սերվերի բանալուն։ Ամբողջ PKI-ն վերակառուցելը ամենաթանկ սխալն է այստեղ։

Բացահայտ դատարկ հատուկ արժեքը նույն վիճակը չէ, ինչ վերագրանցման բացակայությունը։ Առաջինը վերլուծիչին դատարկ ուղի է տալիս, դա է ասում մատյանը։ Երկրորդը Access Server-ին թողնում է իր նյութի վրա, դրա համար որոշ հոսթեր թարմացումից հետո լավ են սկսվում, մյուսները՝ ոչ։

Ինչու գոյություն ունեցող ֆայլը դեռ չի վերլուծվում

Վերլուծիչը կարդում է ֿայլի ներսի պիտակավորված բլոկները, ոչ անունը։ Գաղտնի բանալի պարունակող .crt-ը, մեկ միաձույլ բլոկով գրված շղթան կամ կտրված վերջին տողով ֿայլը մերժվում են։ RFC 7468-ը այդ պիտակները սահմանում է, որովհետև դրանք են ասում, թե ինչ օբյեկտ է հաջորդում։

Ուսումնասիրեք օբյեկտները, ոչ ընդլայնումները։ Linux-ում openssl x509 -noout -subject -issuer -in server.pem և openssl pkey -noout -check -in key.pem պատասխանում են երկու կարևոր հարցերին, և մոդուլուսի կամ հանրային բանալու համեմատությունն ապացուցում է, որ նրանք միասին են։ Գաղտնի բանալու ելքը հեռու պահեք տոմսերից. ստուգմանը մատնահետք է պետք։

Դատարկ ուղին արժանի է նույն կասկածին, ինչ վնասված ֿայլը, որովհետև երկուսն անորոշ սխալներ են տալիս։ Եթե մատյանն ասում է, որ փաթեթի ուղին դատարկ է, կարդացեք պահված արժեքը նախքան վրիպազերծումը։

Գիտակցաբար վերադարձեք պահուստին

Access Server-ի CLI-ն ունի ստուգում, որը երեք ուղիները որպես արգումենտ է վերցնում և հայտնում է հավաքածուի պիտանելիությունը։ Ներքևի ուղիները օրինակ են, փոխարինեք դրանք հոսթի պաշտպանված վայրերով։

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Կարդացեք արդյունքը նախքան աշխատող ծառայությանը դիպչելը, ապա ներմուծեք արժեքները և կիրառեք տեղադրված տարբերակի փաստաթղթավորված գործողությամբ։ պաշտոնական CLI ձեռնարկը ընդգրկում է ստուգումը, ներմուծումը և կիրառումը, և դրա տարբերակն ավելի կարևոր է, քան ցանկացած ամփոփում։

Ստուգեք այն անունը, որ օգտվողները իրականում մուտքագրում են

Երբ հատուկ նյութը կոտրված է, և դեռ կա վավեր ներկառուցված պահուստ, վերականգնումը երեք վերագրանցումները հեռացնելն է և պահուստը Access Server-ին թողնելը։ Նախ ապահովեք կոնսոլի հասանելիություն և կոնֿիգուրացիայի պահուստ, որովհետև վերագործարկվողը հենց վարչական ինտերֿեյսն է սպասարկում։

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Ամբողջ կոնֿիգուրացիայի շտեմարանը ջնջելը սերտիֿիկատի վերանորոգում չէ։ Թիրախավորեք այդ երեք բանալիները, կիրառեք և հաստատեք, որ վեբ ինտերֿեյսը պատասխանում է։ web-ssl պանակի ինքնաստորագրված ֿայլերը պահուստ են, ոչ աշխատանքային տարածք. դրանց վերագրումը կարող է հեռացնել միակ աշխատող նյութը։

Սպասեք, որ բրաուզերը պահուստի գործարկումից հետո այլ սերտիֿիկատ ցույց տա։ Դա ճիշտ արդյունքն է. ստուգեք այն ձեր վստահելի վարչական գործընթացով, ոչ թե օգտվողներին սովորեցրեք բաց թողնել զգուշացումները։

Վերականգնումն ավարտվում է միայն հաջող մուտքից հետո

Վերականգնումը չի ավարտվում TCP լսողի հայտնվելով։ Ստուգեք DNS անունը, սերտիֿիկատի ինքնությունը և շղթան, ապա բեռնեք Admin և Client ինտերֿեյսերը և ավարտեք մուտքը։ Պորտի ստուգումը ոչինչ չի ապացուցում։

Access Server 3.1-ը և նորերը կարող են տարբեր վեբ սերտիֿիկատներ մատուցել յուրաքանչյուր SNI անվան համար։ Եթե դա կարգավորված է, լռելյայն բանալիները և անվան գրառումները առանձին հավաքածուներ են, և IP-ով փորձարկումը կարող է այլ սերտիֿիկատ ցույց տալ։ Ուղղեք ձախողված անվան հավաքածուն և կրկնեք մուտքի փորձարկումը։