Ինչու Client VPN-ի վկայագրի վերաներմուծումը պահանջում է նոր վերջնակետ

Client VPN-ի միացումը կտրվում է, ACM-ում վկայագիրը փոխարինվում է, և ոչինչ չի փոխվում։ Վկայագրի օբյեկտը երբեք այն չի եղել, ինչ օգտագործում էր վերջնակետը։ Վերջնակետը ստեղծման պահին պահպանում է կապ վկայագրի հետ՝ դրա հետ միասին այն հաճախորդի CA-ն, որի դեմ այն վավերացնելու է, նույնականացման տեսակը, ենթացանցերն ու լիազորման կանոնները, և այդ կապերից ոչ մեկը չունի փոփոխման կանչ, որ ընդունում է փոխարինող վկայագիր։ ARN-ի հետևում գտնվող բայթերը փոխարինելը փոփոխություն է վկայագրում, ոչ թե վերջնակետում, որը գրավել է այն։

Վերջնակետը պահպանում է հղումներ, ոչ վկայագրեր

Մեխանիզմն արժե ձևակերպել ճշգրիտ, որովհետև այն բացատրում է ամբողջ ձախողումը։ create-client-vpn-endpoint-ը վերցնում է սերվերի վկայագրի ARN և հաճախորդի արմատային վկայագրերի շղթայի ARN, և ստացված վերջնակետը պահում է այդ հղումները՝ նույնականացման ընտրանքների հետ միասին, որպես ֆիքսված հատկություններ։ API-ն չի առաջարկում գործողություն, որը փոխում է սերվերի վկայագիրը գոյություն ունեցող վերջնակետում։

Կապը կարող եք հաստատել առանց գուշակելու։ aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0-ը տպում է վկայագրի ARN-ը, հաճախորդի արմատային շղթայի ARN-ը, նույնականացման տեսակը, հաճախորդի CIDR-ը և կապված ենթացանցերը, ինչը հատկությունների ամբողջական հավաքածուն է, որը դուք պետք է վերարտադրեիք։ Գործարկեք այն վերաներմուծումից առաջ և հետո, և ելքը չի շարժվի։ Դա այն ապացույցն է, որ վերաներմուծումը երբեք չէր օգնի։

Ինչու վերաներմուծումը չի կարող հասնել վերջնակետին

Վերաներմուծումը գրում է նոր վկայագրի մարմին գոյություն ունեցող ARN-ի ներքո։ Դա օրինական գործողություն է, երբ վկայագիրը մոտ է ժամկետի ավարտին, և ACM-ը կընդունի այն, քանի դեռ մասնավոր բանալին համընկնում է և շղթան վավերանում է։ Այն, ինչ չի անում, վերջնակետի ստեղծման պահի վավերացումը նորից գործարկելն է, ուստի կապը և դրա հետևում գտնվող նյութը մնում են այնպիսին, ինչպիսին եղել են վերջնակետը կառուցելիս։

Այդ պատճառով էլ ախտանիշը նման է ցանցի խափանման։ TLS ձեռքսեղմումը ձախողվում կամ վերակայվում է նախքան լիազորումը ընդհանրապես գնահատելը, ուստի անվտանգության խմբերը, երթուղիները և լիազորման կանոնները բոլորն անմեղ են թվում, և այդպես էլ կան։

Շղթան հաճախորդի վկայագրի մասն է

Ձախողման երկրորդ կեսը հաճախորդի վկայագրում է, և այն ավելի հեշտ է անտեսել։ Հաճախորդի վկայագիրը պետք է ներմուծվի այն թողարկած շղթայի հետ միասին, թեև ներմուծման ձևը այդ դաշտը ներկայացնում է որպես կամընտիր։ Առանց շղթայի վերջնակետը չի կարող ուղի կառուցել հաճախորդի վկայագրից մինչև հաճախորդի արմատային CA-ն, որով այն կարգավորվել է, և միացումն ավարտվում է փափուկ վերակայմամբ, որը նման է փաթեթներ գցող հրային պատի։ openssl verify -CAfile root-ca.pem client.crt-ը պատասխանում է այդ հարցին տեղում մեկ վայրկյանում, և դա պետք է լինի ձեր գործարկած առաջին հրամանը։

Շղթայի հետ վերաներմուծումը իրական ուղղում է այդ կեսի համար, և այն դեռևս բավարար չէ ինքնուրույն։ Երբ ACM-ի օբյեկտը փոխվել է, հին կապը պահող վերջնակետը սխալ բան է, որի դեմ շարունակել փորձարկել։ Երկու քայլերն էլ պատկանում են նույն վերանորոգմանը, այդ պատճառով երկմաս ուղղումը հակասություն չէ։

Վերջնակետի վերստեղծումը միգրացիա է

Փոխարինող վերջնակետ ստեղծելը միգրացիա է, ոչ նոր փորձ, և դրան որպես նոր փորձ վերաբերվելը այն ճանապարհն է, որով թիմերը հայտնվում են երկու կիսակարգավորված վերջնակետերի հետ։ Նոր վերջնակետը ստանում է նոր ID և, եթե դա չեք պլանավորել, նոր DNS անուն յուրաքանչյուր օգտագործողի համար։ Պահեք հաճախորդի պրոֆիլը ուղղված անվանը, ոչ թե հասցեին, որպեսզի փոխանակումը դառնա գրառման փոփոխություն, ոչ թե վերաբաշխում։

Այն հերթականությունը, որ սա անվտանգ է պահում, կարճ է. ստեղծեք նոր վերջնակետը նույն CIDR-ով, ենթացանցերով և լիազորման կանոններով, արտահանեք թարմ պրոֆիլ aws ec2 export-client-vpn-client-configuration-ով և ստուգեք մեկ օգտագործողով։ Միայն դրանից հետո է հին վերջնակետն իջնում։

Հին վերջնակետի շահագործումից հանելը ունի իր հերթականությունը։ Չեղարկեք այն հաճախորդի վկայագրերը, որոնք մտադիր էիք հանել, նախքան այն ջնջելը, որովհետև հին CA-ին դեռ վստահող նոր վերջնակետը շարունակում է ընդունել վկայագրեր, որոնք դուք կարծում էիք անհետացած։ Այնուհետև ջնջեք հին վերջնակետը և հեռացրեք նրա լիազորման կանոնները, որպեսզի հնացած պրոֆիլը չկարողանա նորից միանալ թիրախ ցանցին, որը դուք կարծում էիք փակ։ Գրեք հին վերջնակետի ID-ն և կապի նույնացուցիչները փոփոխության գրառման մեջ, որովհետև հիշողության հետ համեմատվող միգրացիան այն ճանապարհն է, որով աշխատող վերջնակետը երկու անգամ վերակառուցվում է։

Դասավորեք ախտորոշումը

Առանձնացրեք երեք ձախողում նախքան ցանկացած կարգավորում փոխելը։ Հաճախորդը չի կարող ավարտել TLS-ը, հաճախորդը ավարտում է TLS-ը և լիազորված չէ, կամ հաճախորդը միանում է և չի հասնում նպատակակետին։ Վկայագրի կապը պատկանում է առաջինին, լիազորման կանոնը, որը չի ծածկում հաճախորդի հասցեն, պատկանում է երկրորդին, իսկ երթուղին կամ անվտանգության խումբը պատկանում է երրորդին, որտեղ վերջնակետի վերստեղծումը գրեթե միշտ սխալ քայլ է։

Վերջնակետը, որը ամիսներ աշխատել է, ապա կանգնել, առանց վկայագրի կամ քաղաքականության փոփոխության, առանձին դեպք է։ Նույն կարգավորումներով վերակառուցելը կարող է վերականգնել ծառայությունը, բայց դա պատճառ է պահել կարգավորումը վերարտադրելի, ոչ թե պատճառ՝ ամեն միջադեպի ժամանակ վերակառուցելու։

Պահեք չորս բան տարբերակների վերահսկողության տակ, որպեսզի հաջորդ վերակառուցումը լինի diff, ոչ թե իմպրովիզացիա. վերջնակետի պարամետրերը, վկայագրի և շղթայի ARN-ները, լիազորման կանոնները և հաճախորդի CIDR-ը։ Client VPN-ի նույնականացման փաստաթղթերը թվարկում են, թե որ վկայագիրն ինչ դեր է խաղում, ինչն արժե ստուգել նախքան ենթադրելը, թե վկայագիրն է խնդիրը։ Եթե վերաներմուծումը ոչինչ չի փոխում, և վերջնակետը դեռ վերակայվում է, կասկածելին կապն է, և պատասխանը գրանցված պարամետրերից կառուցված նոր վերջնակետն է։ Եթե վերջնակետը իսկապես վերցնում է նոր օբյեկտը, կապն արդեն ճիշտ էր, և խափանումը հաճախորդի շղթայում կամ լիազորման շերտում է։