Թարմացված VPN վկայական. որոշ հաճախորդներ դեռ մերժում են այն

Թարմացումից հետո միջավայրի կեսը նորից միանում է, և երեք սարքեր մերժում են, յուրաքանչյուրը դարպասի ինքնության մասին զգուշացմամբ։ Թարմացումն ինքնին սովորական է։ Այդ երեք սարքերի մոտ հին օբյեկտի ամրացում է, և ամրացումը CA-ի ցանկ չէ, անվան ստուգում չէ և վստահության պահոցի գրառում չէ։ Համեմատեք երեք մեխանիզմները, նախքան որևէ հաճախորդի դիպչելը։

Մեկ թարմացում, երկու վարքագիծ

Նորից միացող հաճախորդներն ունեն վստահության որոշում, որը դեռ անցնում է, իսկ մերժողները՝ պահանջ, որը նոր վկայականը չի բավարարում։ Այդ տարբերությունը տեղեկություն է, ոչ աղմուկ։ Ուշադիր կարդացեք ձախողված հաճախորդի հաղորդագրությունը։ Անվան անհամապատասխանությունը, անհայտ թողարկողը և փոխված մատնահետքը երեք տարբեր վճիռներ են, և միայն վերջինն է ցույց տալիս ամրացմանը։

Ստուգեք նաև, թե որ պրոֆիլն է ընտրել ձախողված հաճախորդը։ Ներմուծված պատճենը, որն ապրում է իր պահոցում, չի փոխվում, երբ ադմինիստրատորը խմբագրում է բնօրինակ ֆայլն այլ տեղ։

Թարմացումը փոխարինում է օբյեկտը, ոչ միայն ամսաթիվը

Մատնահետքը նույնականացնում է կոդավորված վկայականի պարունակությունը։ Թարմացումը ստեղծում է նոր վկայական, ուստի մատնահետքը փոխվում է նաև այն դեպքում, երբ սուբյեկտի անունը և հանրային բանալին մնում են նույնը։ Դա սպասելի և անվնաս է այն հաճախորդների համար, որոնք վստահում են CA-ին և ստուգում անունը։ Դա ճակատագրական է այն հաճախորդի համար, որը կարգավորված է ընդունել ուղիղ մեկ վկայական, և նաև ճակատագրական է այն հաճախորդի համար, ում վստահության պահոցը երբեք չի ստացել նոր թողարկողին։

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Երկրորդ տողը պատասխանում է այլ հարցի, թե արդյոք բանալու զույգը վերապրել է։ Թարմացումը, որը կրկին օգտագործում է բանալին, պահպանում է այդ արժեքը և փոխում միայն վկայականը, և դա հենց այն դեպքն է, երբ ադմինիստրատորը հակված է ենթադրել, թե ոչինչ չի փոխվել։ Ստուգեք տեղակայված վկայականը, ոչ թե այն, որը կառուցման սերվերի վրա է։ Պահոցում ֆայլի համեմատությունը ապացուցում է, թե ինչ է ստեղծվել, ոչ թե այն, ինչ լսողը հենց հիմա ներկայացնում է։

Կարդացեք, թե ինչ է ամրացնում հաճախորդը

Որոշ հաճախորդներ մատնահետքը պահում են իրենց պրոֆիլում և համեմատում այն յուրաքանչյուր կապի ժամանակ։ Մյուսները պահում են այն հարթակի վստահության պահոցում, իսկ ևս մյուսները հենվում են միայն CA-ի վրա։ Վերանորոգումը տարբերվում է յուրաքանչյուր դեպքում, ուստի նախ բացահայտեք մեխանիզմը։

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Առաջին հրամանը ցույց է տալիս ամրացում սովորական պրոֆիլում, երկրորդը ցույց է տալիս այն մատնահետքը, որը վերջնակետը հենց հիմա մատուցում է։ Երբ այդ երկուսը տարբերվում են, դուք գտել եք խափանումը առանց գուշակելու։ Մի տեղադրեք նոր արժեքը բոլոր բողոքող հաճախորդների մեջ։ Թողարկողի հիմքով մերժող հաճախորդը կշարունակի մերժել, և դուք ձեզ կսովորեցնեք, թե մատնահետքն էր խնդիրը, երբ այդպես չէր։

Համեմատեք յուրաքանչյուր backend-ի մատուցած վկայականը

Ընդհատվող արդյունքները սովորաբար նշանակում են մեկից ավելի վերջնակետ, և մեկ հանգույցի վրա կիրառված թարմացումը մյուսներին թողնում է ներկայացնել հին օբյեկտը։ Համեմատեք յուրաքանչյուր backend-ը ըստ հասցեի, ոչ թե ըստ ընդհանուր անվան։

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Այն փուլը, որտեղ մեկ հանգույց հետ է մնում, բացատրում է հաճախորդին, որը միանում է երկրորդ փորձով և ձախողվում առաջինում։ Այն նաև բացատրում է մոնիթորինգի ստուգումը, որն անցնում է, մինչ օգտատերերը բողոքում են։ Նախ շտկեք հետ մնալը։ Վստահության կոնֆիգուրացիան գլորելը նախքան յուրաքանչյուր հանգույց նոր վկայական կմատուցի ստեղծում է պատուհան, որտեղ ոչինչ չի աշխատում, իսկ դրանից հետո գլորելը թողնում է հաճախորդներին անկանխատեսելիորեն ձախողվել։

Փոխեք վստահությունը կառավարվող ուղով

Հաստատեք փոխարինումն արդեն վստահելի ադմինիստրատիվ ալիքով, նախքան այն որևէ տեղ ընդունելը։ Հավանական ժամկետը սեփականության ապացույց չէ։ Թարմացրեք կառավարվող կոնֆիգուրացիան այն գործընթացով, որը տիրապետում է դրան, ընդունելի ինքնությունների ցանկացած ծրագրված համընկնմամբ, և պահպանեք տեղակայման պահանջած անվան ստուգումը։ Առանց անվան ստուգման ամրացումը ավելի թույլ ձևավորում է, քան այն CA վստահությունը, որը նա փոխարինեց։

Այնուհետև ստուգեք ըստ հաճախորդի, միացեք, հաստատեք այն ինքնությունը, որը նա ընդունել է, և նշեք վկայականի այն տարբերակը, որին նա հիմա վստահում է։ Մեկ անգամ մերժված զգուշացումը սովորաբար վերադառնում է հաջորդ թարմացման ժամանակ։