SoftEther ServerCertSet: flytja inn endurnýjaða keðjuna með vpncmd

Certbot tilkynnir árangursríka endurnýjun, skrárnar á disknum bera nýjar dagsetningar, og biðlarar hitta enn gamla auðkennið. SoftEther heldur SSL-þjónvottorðinu sínu í eigin stillingum á þjónstigi, svo ný skrá á disknum breytir engu fyrr en blaðið og lykillinn þess hafa verið flutt inn. Eftirfarandi röð nær yfir eina handvirka innflutning, umbúðir sem keyra eftir hverja endurnýjun, og athugun sem les hvað hlustandinn kynnir í raun. Hvert skref skilur eftir sönnunargögn sem þú getur borið saman eftir næstu endurnýjun.

Endurnýjuð skrá breytir ekki auðkenni þjónsins

Útgáfa og dreifing eru aðskildir atburðir með aðskildum bilunarháttum. ACME-biðlarinn skrifar skrár í ættlínumöppu og skráir árangur; SoftEther heldur áfram að nota vottorðið sem síðast var hlaðið í stillingar þess. Núll útgangsstaða lýsir því skránum, ekki þjónustunni, og þau tvö geta verið ósammála svo lengi sem enginn horfir. Lítið á innflutninginn sem dreifingarskrefið og endurnýjunina sem inntak þess.

Þessi greinarmunur útskýrir líka hið ruglingslega hálfbilun: gamla vottorðið heldur áfram að virka þar til það rennur út, svo í fyrstu virðist ekkert bilað. Þegar það rennur út bila allir biðlarar í einu, sem lítur út eins og niðurstaða frekar en skref dreifingar sem var sleppt. Að athuga auðkennið sem er kynnt eftir hverja endurnýjun breytir þeirri óvæntu uppgötvun í venjubundna athugun.

Veljið áskorunina sem hentar hlustandanum

Vottorðið verður að nefna hýsilinn sem biðlarar sannreyna, svo notið opinbera DNS-nafnið í stað innra merkis eða tölu. HTTP-01 krefst þess að svarað sé áskoruninni á gátt 80 í smástund, sem er tímabundinn hlustandi og aldrei ástæða til að færa eigin gátt SoftEther. DNS-01 sannar stjórn með færslu og þarf alls ekkert innkomandi HTTP.

Endurnýjun án eftirlits þýðir sjálfvirka DNS-samþættingu með skilríkjum sem takmarkast við eitt svæði, ekki TXT-færslu sem er slegin inn í höndunum á tveggja mánaða fresti. Villimerki breytir tegund áskorunarinnar, ekki þörfinni fyrir þeirri sjálfvirkni. Ákveðið þetta áður en fyrsta vottorðið er til, því að skipta um áskorunartegund síðar þýðir að snerta biðlarastillinguna og eldvegginn samtímis.

Haldið gripunum skipulegum á meðan þið eruð hér. Blaðið og millivottorðin koma sem aðskildar skrár og sem ein sameinuð keðjuskrá, einkalykillinn er aftur aðskilinn, og innflutningurinn þarf keðjuna með samsvarandi lykli, ekki opið vottorð eitt og sér.

Flytjið keðjuna inn á þjónstigi

Takið öryggisafrit af stillingum þjónsins og staðfestið að þið náið enn stjórnviðmótinu áður en þið snertið vottorðið. Tengist sem þjónstjóri en ekki Virtual Hub-stjóri, því vottorðið tilheyrir þjónhlutnum. Hlaðið síðan keðjunni og lyklinum með algjörri slóð, úr skrám sem reikningurinn sem keyrir skipunina getur lesið. Athugið að slóðirnar eru algildar því skipunin leysir þær frá vinnumöppu ferlisins sem keyrði vpncmd:

ServerCertSet /LOADCERT:/etc/letsencrypt/live/vpn.example.com/fullchain.pem /LOADKEY:/etc/letsencrypt/live/vpn.example.com/privkey.pem

Lesið útkomu skipunarinnar í stað þess að gera ráð fyrir árangri, og lesið síðan keðjuna aftur í stað þess að treysta skránni sem þið gáfuð. Mörkin milli bygginga sem flytja inn alla PEM-pakkann og bygginga sem taka aðeins fyrsta vottorðið eru ekki skjalfest á einum stað, svo athugunin ræður því fyrir bygginguna fyrir framan ykkur. Teljið vottorðin sem hlustandinn kynnir; blað án millivottorða er undirskrift innflytjanda sem eyddi aðeins fyrstu blokkinni.

Haldið innflutta lyklinum læsilegum aðeins fyrir reikninginn sem keyrir þjóninn, og haldið stjórnlykilorðinu utan skeljarinnar. Við þennan fyrsta innflutning skal slá lykilorðið inn við kvaðninguna í stað þess að gefa það sem skipunarfæribreytu. Þessar tvær venjur kosta ekkert og fjarlægja algengustu leiðina sem dreifing vottorðs lekur einhverju sem hún átti að vernda. Gerið þetta fyrir fyrsta innflutning, ekki eftir hann.

Hengið upp dreifinguna, ekki endurnýjunina

Þegar handvirkur innflutningur virkar, setjið nákvæmlega þessi skref í litlar umbúðir og kallið á þær úr ACME-biðlaranum eftir árangursríka endurnýjun. Certbot stillir RENEWED_LINEAGE og RENEWED_DOMAINS fyrir krókinn, svo umbúðirnar geta unnið á einu vottorði á vél sem stýrir fleirum. Síað eftir ættlínunni í stað þess að bregðast við hverri endurnýjun á hýsilnum. Umbúðirnar eru dreifingarkóði sem keyrir með réttindum þjónsins, svo farið yfir þær eins og hvert annað skriftu í þeirri stöðu.

certbot renew --deploy-hook /usr/local/sbin/softether-deploy.sh

Krókur sem keyrir án eftirlits þarf eigið varið skilríkjageymslu og bilunarmerki sem nær til manneskju. Ef útgáfan heppnast og innflutningurinn mistekst, reyndu innflutninginn aftur í stað þess að biðja um annað vottorð, því önnur beiðni felur dreifingargallann bak við nýja skrá. Skjöl Certbot um endurnýjun eru skýr um að keyrsla sem uppfærir ekkert sé eðlileg niðurstaða, svo krókurinn er það sem greinir þau tvö.

Berðu saman keðjuna sem er kynnt og skrána

Lesið hlustandann, ekki diskinn. Tengist gáttinni sem snýr að biðlurum með þjónnafninu sem biðlararnir nota, og berið síðan saman fingrafarið og afhentu keðjuna við ættlínuna sem krókurinn setti upp. Tvær skipanir ná yfir þetta, og sú fyrsta sýnir líka hvort millivottorð koma yfirhöfuð:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | grep -c 'BEGIN CERTIFICATE'
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -fingerprint -sha256

Búið síðan til nýja biðlaratengingu, því lotur sem voru stofnaðar fyrir innflutninginn voru sannreyndar gagnvart fyrra auðkenninu og sanna ekkert um hið nýja. Ef biðlarar festa gamla blaðið, þurfa þeir samræmda uppfærslu jafnvel þótt opinbera keðjan sé gild, og það verkefni tilheyrir sama runbook og endurnýjunin. Andhverfur milliþjónn fyrir framan þjónustuna getur kynnt gott vottorð á meðan VPN-hlustandinn heldur enn því gamla, og þess vegna verður athugunin að nefna gáttina sem biðlararnir ná í raun. Skráið fingrafarið við hlið endurnýjunardagsins, svo næsta samanburður sé athugun en ekki minnisaðgerð.