Access Server-де веб сертификат қатесі: бос CA бумасы

Бос ca_bundle мәні немесе бүлінген PEM әкімшілік интерфейсін тоқтатады. Қайта іске қоспас бұрын сертификатты, кілтті және тізбекті бір жиын ретінде тексеріңіз, VPN PKI-ге тиіспеңіз.

DNS дұрыс шешіліп тұрса да жүктелмейтін веб кіру беті әдетте DNS мәселесі емес. Егер қызмет журналында буманың бос жолы немесе веб сертификат пен жеке кілттің PEM талдау қатесі жазылса, HTTPS тыңдаушысында жарамды материал жоқ және атауды шешу көмектеспейді. Түзету үш конфигурация кілтінде және VPN клиентінің сертификатын қайта беруді талап етпейді.

Үш кілт нақты нені көрсетеді

Теңшелетін веб сертификаттар жиыны cs.cert, cs.priv_key және cs.ca_bundle арқылы сипатталады. Әрқайсысы файл жолын сақтайды, веб қызметі үшеуін бірге қолданады. Дұрыс емес кілтті сертификат немесе шын мәнінде жапырақ сертификаты болып табылатын тізбек файлы бос мән сияқты сәтсіз аяқталады.

Бұл кілттер Admin және Client веб интерфейсіне тиесілі. Олар VPN клиенттеріне сертификат беретін PKI-ден бөлек, сондықтан ауыстыру профильдерге, сервер кілтіне немесе сертификат органына тиюді талап етпейді. Бүкіл PKI-ді қайта салу мұндағы ең қымбат қате.

Бір айырмашылық уақытты үнемдейді: әдейі бос теңшелетін мән жабу жоқ күймен бірдей емес. Біріншісі талдауға бос жол береді, журнал жолы соны айтады. Екіншісі Access Server-ді өз материалында қалдырады, сондықтан кейбір хосттар жаңартудан кейін жақсы қосылады, кейбіреулері қосылмайды.

Неліктен бар файл талданбайды

Талдаушы файл атауын емес, файл ішіндегі таңбаланған блоктарды оқиды. Жеке кілті бар .crt, бір сертификат күтілген жерде бір блок ретінде жазылған тізбек немесе соңғы жолы кесілген файл қабылданбайды. RFC 7468 бұл таңбаларды келесі объектінің түрін жалғыз айтатындықтан анықтайды.

Объектілерді тексеріңіз, кеңейтімдерді емес. Linux-та openssl x509 -noout -subject -issuer -in server.pem мен openssl pkey -noout -check -in key.pem екі маңызды сұраққа жауап береді, ал модуль немесе ашық кілтті салыстыру олардың бірге екенін дәлелдейді. Жеке кілт шығысын билеттер мен чат журналдарынан алыс ұстаңыз.

Бос жол да бүлінген файл сияқты күдік тудырады, өйткені екеуі де бұлыңғыр қателер береді. Егер журнал бума жолы бос десе, файлды жөндеуден бұрын сақталған мәнді оқыңыз.

Әдейі резервке оралу

Access Server CLI-інде үш жолды аргумент ретінде алатын және жиынның жарамдылығын хабарлайтын тексеру бар. Төмендегі жолдар мысал; оларды хосттың қорғалған орындарымен ауыстырыңыз.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Жұмыс істеп тұрған қызметке тиіспес бұрын нәтижені оқыңыз, содан кейін мәндерді импорттап, орнатылған нұсқаның құжатталған операциясымен қолданыңыз. ресми CLI оқулығы тексеруді, импортты және қолдану қадамын қамтиды, оның нұсқасы кез келген қорытындыдан маңыздырақ.

Пайдаланушылар нақты жазатын атауды тексеріңіз

Теңшелетін материал бүлінгенде және жарамды кірістірілген резерв бар болса, құжатталған қалпына келтіру үш жабуды жою және резервті пайдалануға рұқсат беру. Алдымен консольге қатынас пен ағымдағы конфигурацияның көшірмесін қамтамасыз етіңіз.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Бүкіл конфигурация базасын жою сертификатты жөндеу емес. Сол үш кілтті нысанаға алыңыз, қолданыңыз және веб интерфейстің жауап беретінін растаңыз. web-ssl каталогындағы өзіндік қол қойылған файлдар резервтік ресурс, жұмыс орны емес.

Резерв күшіне енгеннен кейін браузер басқа сертификат көрсетеді деп күтіңіз. Бұл дұрыс нәтиже; оны сенімді әкімшілік процесіңізбен тексеріңіз.

Қалпына келтіру сәтті кірумен аяқталады

TCP тыңдаушысы пайда болғанда қалпына келтіру аяқталмайды. DNS атауын, сертификаттың жеке басын және сол атаудың тізбегін тексеріңіз, содан кейін Admin және Client интерфейстерін жүктеп, кіруді аяқтаңыз. Порт тексеруі мұны дәлелдемейді.

Access Server 3.1 және одан кейінгілер әр SNI хост атауы үшін түрлі веб сертификаттарын ұсына алады. Егер бұл конфигурацияланса, әдепкі кілттер мен атауға тән жазбалар бөлек жиындар, ал IP арқылы тексеру пайдаланушылар алатыннан басқа сертификатты көрсетуі мүмкін. Сәтсіз атаудың жиынын түзетіп тексеріңіз және кіру сынағын қайталаңыз.

Қатысты мақалалар