Endurnýjuð VPN-vottorð: sumir biðlarar hafna því enn

Helmingur kerfisins tengist aftur eftir endurnýjunina og þrjú tæki hafna, hvert með viðvörun um auðkenni gáttarinnar. Endurnýjunin sjálf er venjuleg. Það sem þessi þrjú tæki geyma er festing á gamla hlutnum, og festing er ekki CA-listi, nafnaprófun eða færsla í traustgeymslu. Berðu saman hinar þrjár aðferðir áður en þú snertir nokkurn biðlara.

Ein endurnýjun, tvær hegðanir

Biðlararnir sem tengjast aftur hafa traustákvörðun sem gengur enn, og þeir sem hafna hafa kröfu sem nýja vottorðið uppfyllir ekki. Sá munur er upplýsing, ekki hávaði. Lestu skilaboð biluðu biðlarans nákvæmlega. Nafnamisræmi, óþekktur útgefandi og breytt fingrafar eru þrjú mismunandi úrskurðir, og aðeins sá síðasti bendir á festingu.

Athugaðu líka hvaða snið biluðu biðlarinn valdi. Innflutt eintak sem býr í eigin geymslu breytist ekki þegar stjórnandinn breytir upprunalegu skránni annars staðar.

Endurnýjun skiptir um hlut, ekki bara dagsetningu

Fingrafar auðkennir kóðað innihald vottorðsins. Endurnýjun býr til nýtt vottorð, svo fingrafarið breytist þótt nafn viðfangs og almennur lykill haldist óbreytt. Það er væntanlegt og meinlaust fyrir biðlara sem treysta CA og sannprófa nafnið. Það er banvænt fyrir biðlara sem er stilltur til að samþykkja nákvæmlega eitt vottorð, og það er líka banvænt fyrir biðlara sem traustgeymsla hans fékk aldrei nýja útgefandann.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Önnur línan svarar annarri spurningu: hvort lykilparið lifði af. Endurnýjun sem endurnýtir lykilinn heldur því gildi og breytir aðeins vottorðinu, og það er einmitt tilfellið þar sem stjórnanda verður freistað að ætla að ekkert hafi breyst. Skoðaðu vottorðið sem er dreift, ekki það sem er á byggingarhýsilnum. Samanburður á skrá í geymslu sannar hvað var búið til, ekki hvað hlustandi er að kynna núna.

Lestu hvað biðlarinn festir

Sumir biðlarar geyma fingrafar í sniðinu sínu og bera það saman við hverja tengingu. Aðrir geyma það í traustgeymslu stýrikerfisins, og enn aðrir treysta aðeins á CA. Viðgerðin er mismunandi í hverju tilviki, svo greindu fyrst aðferðina.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Fyrsta skipunin sýnir festingu í hefðbundnu sniði; önnur sýnir fingrafarið sem endapunkturinn þjónar akkúrat núna. Þegar þessi tvö eru mismunandi hefur þú staðsett bilunina án þess að giska. Ekki líma nýja gildið í hvern biðlara sem kvartar. Biðlari sem hafnar vegna útgefanda mun halda áfram að hafna, og þú verður búinn að kenna sjálfum þér að fingrafarið hafi verið vandamálið þegar það var það ekki.

Berðu saman vottorðið sem hver bakendi þjónar

Ósamfelldar niðurstöður þýða venjulega fleiri en einn endapunkt, og endurnýjun sem var beitt á einn hnút lætur hina kynna gamla hlutinn. Berðu saman hvern bakenda eftir vistfangi frekar en eftir sameiginlega nafninu.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Hópur þar sem einn hnútur er á eftir útskýrir biðlara sem tengist í annarri tilraun og bregst í þeirri fyrstu. Það útskýrir líka eftirlitsprófun sem gengur á meðan notendur kvarta. Lagaðu seinkunina fyrst. Að rúlla trauststillingu áður en hver hnútur þjónar nýja vottorðinu býr til glugga þar sem ekkert virkar, og að rúlla henni eftir á skilur biðlara eftir að bregðast ófyrirsjáanlega.

Breyttu trausti í gegnum stýrðu leiðina

Staðfestu skiptin í gegnum þegar traustan stjórnunarleið áður en þú samþykkir þau hvar sem er. Trúverðugt gildistímasett er ekki sönnun eignarhalds. Uppfærðu stýrðu stillinguna í gegnum það ferli sem á hana, með hverri fyrirhugaðri skörun samþykkjanlegra auðkenna, og haltu nafnasannprófuninni sem dreifingin krefst. Festing án nafnaprófunar er veikari hönnun en CA-traustið sem hún kom í staðinn fyrir.

Staðfestu síðan fyrir hvern biðlara: tengstu, staðfestu auðkennið sem hann samþykkti og skráðu vottorðsútgáfuna sem hann treystir núna. Viðvörun sem er vísað einu sinni á það til að koma aftur við næstu endurnýjun.