Hvers vegna endurinnflutningur á Client VPN-vottorði krefst nýs endapunkts

Client VPN-tenging rofnar, vottorðinu í ACM er skipt út, og ekkert breytist. Vottorðshluturinn var aldrei það sem endapunkturinn notaði. Endapunktur geymir við sköpun tengingu við vottorð, ásamt viðskiptavinar-CA sem hann mun sannreyna gagnvart, auðkenningartegundinni, undirnetunum og heimildarreglunum, og engin þessara tenginga hefur breytingarkall sem tekur við staðgengilsvottorði. Að skipta um bætin á bak við ARN er breyting á vottorðinu, ekki á endapunktinum sem nam hana.

Endapunkturinn geymir tilvísanir, ekki vottorð

Ástæða er til að orða fyrirkomulagið nákvæmlega því það útskýrir alla bilunina. create-client-vpn-endpoint tekur ARN þjónustuvottorðs og ARN rótarkeðju viðskiptavinar, og endapunkturinn sem verður til heldur þessum tilvísunum ásamt auðkenningarvalkostunum sem föstum eiginleikum. API-ið býður enga aðgerð sem skiptir um þjónustuvottorðið á núverandi endapunkti.

Þú getur staðfest tenginguna án þess að giska. aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 prentar ARN vottorðsins, ARN rótarkeðju viðskiptavinarins, auðkenningartegundina, CIDR viðskiptavinarins og tengd undirnet, sem er allt safn eiginleikanna sem þú þyrftir að endurgera. Keyrðu það fyrir og eftir endurinnflutning og úttakið hreyfist ekki. Þetta er sönnunin fyrir því að endurinnflutningurinn átti aldrei eftir að hjálpa.

Hvers vegna endurinnflutningur nær ekki til endapunktsins

Endurinnflutningur skrifar nýjan vottorðslíkama undir núverandi ARN. Það er lögmæt aðgerð þegar vottorð er nálægt gildistíma, og ACM mun samþykkja hana svo framarlega sem einkalykillinn passar og keðjan sannreynist. Það sem hann gerir ekki er að keyra sannreynsluna frá sköpun endapunktsins aftur, svo tengingin og efnið á bak við hana haldast eins og þau voru þegar endapunkturinn var byggður.

Þess vegna hljómar einkennið eins og netbilun. TLS-handabandið mistekst eða endurstillist áður en heimildin er yfirhöfuð metin, svo öryggishópar, slóðir og heimildarreglur virðast allar saklausar, og það eru þær.

Keðjan er hluti af viðskiptavinarvottorðinu

Seinni helmingur bilunarinnar er í viðskiptavinarvottorðinu, og auðveldara er að vísa henni frá. Viðskiptavinarvottorð verður að flytja inn með keðjunni sem gaf það út, þótt innflutningsformið sýni þann reit sem valkvæðan. Án keðjunnar getur endapunkturinn ekki byggt slóð frá viðskiptavinarvottorðinu að rótar-CA viðskiptavinarins sem hann var stilltur með, og tengingin endar í mjúkri endurstillingu sem hljómar eins og eldveggur sem sleppir pakkum. openssl verify -CAfile root-ca.pem client.crt svarar þeirri spurningu staðbundið á einni sekúndu, og það ætti að vera fyrsta skipunin sem þú keyrir.

Endurinnflutningur með keðjunni er raunveruleg lagfæring fyrir þann helming, og hann er samt ekki nóg eitt og sér. Þegar ACM-hlutnum hefur verið breytt er endapunkturinn með gömlu tengingunni rangt viðfang til að halda áfram að prófa. Bæði skrefin tilheyra sömu viðgerð, þess vegna er tvískipta lagfæringin ekki mótsögn.

Að endurskapa endapunkt er flutningur

Að búa til staðgengilsendapunkt er flutningur, ekki ný tilraun, og að meðhöndla hann sem nýja tilraun er leiðin sem teymi lenda í tveimur hálfstilltum endapunktum. Nýi endapunkturinn fær nýtt ID og, nema þú hafir skipulagt það, nýtt DNS-heiti fyrir hvern notanda. Haltu viðskiptavinarprófílnum bendandi á heiti frekar en vistfang svo skiptin verði færslubreyting en ekki endurdreifing.

Röðin sem heldur þessu öruggu er stutt: búðu til nýja endapunktinn með sama CIDR, undirnetum og heimildarreglum, flyttu út ferskan prófíl með aws ec2 export-client-vpn-client-configuration, og staðfestu með einum notanda. Aðeins eftir það er gamli endapunkturinn tekinn niður.

Að taka gamla endapunktinn úr notkun hefur sína eigin röð. Afturkallaðu viðskiptavinarvottorðin sem þú ætlaðir að taka úr notkun áður en þú eyðir honum, því nýr endapunktur sem treystir enn gamla CA heldur áfram að taka við vottorðum sem þú hélt að væru horfin. Eyðdu svo gamla endapunktinum og fjarlægðu heimildarreglur hans, svo gildislaus prófíll geti ekki tengst aftur markneti sem þú hélt að væri lokað. Skrifaðu ID gamla endapunktsins og auðkenni tengingarinnar í breytingarskrána, því flutningur sem borinn er saman við minnið er leiðin sem virkur endapunktur er endurbyggður tvisvar.

Raðaðu greiningunni

Aðskildu þrjár bilanir áður en þú breytir nokkurri stillingu. Viðskiptavinurinn getur ekki klárað TLS, viðskiptavinurinn klárar TLS og er ekki heimilaður, eða viðskiptavinurinn tengist og nær ekki áfangastað. Vottorðstengingin tilheyrir þeirri fyrstu, heimildarregla sem nær ekki yfir vistfang viðskiptavinarins tilheyrir þeirri annarri, og slóð eða öryggishópur tilheyrir þeirri þriðju, þar sem að endurskapa endapunkt er næstum alltaf rangt skref.

Endapunktur sem virkaði í mánuði og stöðvaðist svo, án vottorðs- eða stefnubreytingar, er sérstakt tilfelli. Að endurbyggja hann með sömu stillingum getur endurheimt þjónustuna, en það er ástæða til að halda stillingunni endurgeranlegri, ekki ástæða til að endurbyggja við hvert atvik.

Haltu fjórum hlutum undir útgáfustjórnun svo næsta endurbygging verði diff en ekki spuni: færibreytur endapunktsins, ARN vottorðsins og keðjunnar, heimildarreglurnar og CIDR viðskiptavinarins. Skjölun Client VPN-auðkenningar telur upp hvaða vottorð leikur hvaða hlutverk, sem er þess virði að athuga áður en gert er ráð fyrir að vottorð sé vandamálið. Ef endurinnflutningur breytir engu og endapunkturinn endurstillist enn, er tengingin grunaða og svarið er nýr endapunktur byggður úr skráðum færibreytum. Ef endapunkturinn tekur þó við nýja hlutnum var tengingin þegar rétt og bilunin liggur í keðju viðskiptavinarins eða heimildarlaginu.