Villa í vefvottorði á Access Server: tómt CA-sett

Tómt ca_bundle gildi eða skemmt PEM stöðvar Admin viðmótið. Staðfestið vottorð, lykil og keðju sem eitt sett fyrir endurræsingu og látið VPN PKI óhreyft.

Vefinnskráningarsíða sem hleðst ekki á meðan DNS leysist rétt er yfirleitt ekki DNS-vandamál. Ef þjónustuskráin nefnir tóma slóð vottorðasafnsins eða PEM-þáttunarbilun fyrir vefvottorðið og einkalykilinn, hefur HTTPS-hlustunaraðilinn ekkert nothæft efni og engin nafnleysing hjálpar. Viðgerðin er í þremur stillingarlyklum og krefst ekki endurútgáfu neins VPN-biðlendavottorðs.

Hvað lyklarnir þrír vísa í raun

Sérsniðna vefvottorðasettið er lýst með cs.cert, cs.priv_key og cs.ca_bundle. Hvert geymir slóð á skrá og vefþjónustan notar öll þrjú saman. Vottorð með röngum lykli, eða keðjuskrá sem er í raun blaðvottorðið, bregst eins og tómt gildi: hlustunaraðilinn getur ekki byggt keðju sem vafrinn samþykkir.

Þessir lyklar tilheyra Admin- og Client-vefviðmótinu. Þeir eru aðskildir frá PKI-inu sem gefur VPN-biðlendum vottorð, svo skipting krefst þess ekki að snerta biðlendasnið, þjónlykilinn eða vottorðsstofnunina. Að líta á vef-TLS bilun sem ástæðu til að endurbyggja allt PKI er dýrasta rangt skrefið hér.

Einn greinarmunur sparar tíma: skýrt tómt sérsniðið gildi er ekki sama ástand og engin yfirskrifun. Hið fyrra gefur þáttaranum tóma slóð, það segir skrárlínan. Hið síðara lætur Access Server á eigin efni, þess vegna ræsa sumir hýslar vel eftir uppfærslu og aðrir ekki.

Hvers vegna fyrirliggjandi skrá er ekki þáttuð

Þáttarinn les merktu blokkirnar inni í skránni, ekki skrárnafnið. .crt sem inniheldur einkalykil, keðja skrifuð sem ein samfelld blokk þar sem eins vottorðs var vænst, eða skrá vistuð með styttri síðustu línu eru öll hafnað. RFC 7468 skilgreinir þessi læsilegu merki því þau eru það eina sem segir lesandanum hvers konar hlutur fylgir.

Skoðið hlutina, ekki skráarendingarnar. Á Linux-hýsli svara openssl x509 -noout -subject -issuer -in server.pem og openssl pkey -noout -check -in key.pem tveimur mikilvægum spurningum og samanburður á stuðli eða opinberum lykli beggja sannar að þeir heyra saman. Haldið einkalykilsútkomu utan miða og spjallskráa; prófið þarf fingrafar, ekki lykilinn.

Tóm slóð á skilið sama grunsemd og skemmd skrá, því báðar gefa óljósar seinni villur. Ef skráin segir að slóð safnsins sé tóm, lesið geymda gildið áður en þið kembið skrána.

Farðu viljandi aftur í varaleiðina

CLI Access Server hefur staðfestingarpróf sem tekur þrjár slóðir sem rök og tilkynnir hvort settið sé nothæft. Slóðirnar hér að neðan eru dæmi; skiptið þeim út fyrir varða staði á hýslinum:

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Lesið niðurstöðuna áður en þið snertið keyrandi þjónustu og flytjið aðeins þá inn gildin og beitið þeim með skjalfestri aðgerð fyrir uppsettu útgáfuna. opinbera CLI-eiðsíðan nær yfir staðfestingu, innflutning í stillingagagnagrunninn og beitingarskrefið, og útgáfa hennar skiptir meira máli en hvaða samantekt sem er.

Staðfestið nafnið sem notendur slá í raun inn

Þegar sérsniðna efnið er brotið og gilt innbyggt varaleið er enn til, er skjalfesta endurheimtin að fjarlægja þrjár sérsniðnar yfirskrifanir og láta Access Server nota varaleiðina. Tryggið fyrst konsólaðgang og öryggisafrit af núverandi stillingum, því þjónustan sem þið endurræsið þjónar stjórnviðmótinu.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Að hreinsa allan stillingagagnagrunninn er ekki vottorðaviðgerð. Beinið sjónum að þessum þremur lyklum, beitið og staðfestið að vefviðmótið svari. Sjálfssignuðu skrárnar í web-ssl möppunni eru varaleiðarauðlindin, ekki vinnusvæði: yfirskrifun eða endurnýjun getur fjarlægt eina virka efnið.

Búið við að vafrinn sýni annað vottorð eftir að varaleiðin tekur gildi. Það er rétta niðurstaðan og svarið er að staðfesta hana með traustu stjórnunarferli, ekki að kenna notendum að smella fram hjá hverri viðvörun.

Endurheimt lýkur ekki fyrr en innskráning heppnast

Endurheimt er ekki lokið þegar TCP-hlustunaraðili birtist. Staðfestið DNS-nafnið, auðkenni vottorðsins og keðjuna fyrir það nafn, hlaðið þá bæði Admin- og Client-vefviðmótinu og ljúkið innskráningu. Porthpróf sannar ekkert af þessu.

Access Server 3.1 og nýrri geta einnig þjónað mismunandi vefvottorðum fyrir hvert SNI-hýsilsnafn. Ef það er stillt eru sjálfgefnu lyklarnir og nafnskýru færslurnar aðskilin sett og prófun með IP-tölu sýnir auðveldlega annað vottorð en notendur fá. Lagfærið og staðfestið settið fyrir nafnið sem brást og endurtakið innskráningarprófið áður en atvikinu er lokað.

Tengdir greinar