Жаңартылған VPN сертификаты: кейбір клиенттер оны әлі де қабылдамайды

Жаңартудан кейін ортаның жартысы қайта қосылады, ал үш құрылғы бас тартады, әрқайсысы шлюздің сәйкестігі туралы ескертумен. Жаңартудың өзі күнделікті жұмыс. Осы үш құрылғыда ескі нысанға бекіту бар, және бекіту CA тізімі де, атауды тексеру де, сенім қоймасының жазбасы да емес. Кез келген клиентке тию алдында үш механизмді салыстырыңыз.

Бір жаңарту, екі мінез-құлық

Қайта қосылған клиенттерде сенім шешімі әлі өтеді, ал бас тартқандарда жаңа сертификат қанағаттандырмайтын талап бар. Бұл айырмашылық ақпарат, шу емес. Сәтсіз клиенттің хабарламасын дәл оқыңыз. Атаудың сәйкессіздігі, белгісіз шығарушы және өзгерген саусақ ізі үш түрлі үкім, және соңғысы ғана бекітуге нұсқайды.

Сәтсіз клиент қай профильді таңдағанын да тексеріңіз. Өз қоймасында тұратын импортталған көшірме әкімші түпнұсқа файлды басқа жерде өңдегенде өзгермейді.

Жаңарту нысанды алмастырады, тек күнді емес

Саусақ ізі кодталған сертификат мазмұнын сәйкестендіреді. Жаңарту жаңа сертификат жасайды, сондықтан субъект атауы мен ашық кілт бірдей қалса да саусақ ізі өзгереді. Бұл CA-ға сенетін және атауды тексеретін клиенттер үшін күтілетін және қауіпсіз нәрсе. Бұл дәл бір сертификатты қабылдауға конфигурацияланған клиент үшін өлімге әкеп соғады, және сенім қоймасы жаңа шығарушыны ешқашан алмаған клиент үшін де өлімге әкеп соғады.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Екінші жол басқа сұраққа жауап береді, кілт жұбы аман қалды ма. Кілтті қайта пайдаланатын жаңарту сол мәнді сақтайды және тек сертификатты өзгертеді, дәл осы жағдайда әкімші ештеңе өзгермеді деп ойлауға бейім. Орналастырылған сертификатты тексеріңіз, құрастыру хостындағыны емес. Репозиторийдегі файлды салыстыру ненің жасалғанын дәлелдейді, тыңдаушының қазір нені ұсынып отырғанын емес.

Клиент нені бекітіп отырғанын оқыңыз

Кейбір клиенттер саусақ ізін профилінде ұстап, әр қосылымда салыстырады. Басқалары оны платформаның сенім қоймасында сақтайды, тағы басқалары тек CA-ға сүйенеді. Жөндеу әр жағдайда өзгеше, сондықтан әуелі механизмді анықтаңыз.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Бірінші команда дәстүрлі профильдегі бекітуді көрсетеді; екіншісі эндпоинт дәл қазір ұсынып отырған саусақ ізін көрсетеді. Бұл екеуі өзгеше болса, сіз болжаусыз ақауды таптыңыз. Жаңа мәнді шағымданатын әр клиентке қыстырмаңыз. Шығарушы себебімен бас тартқан клиент бас тарта береді, ал сіз өзіңізге мәселе саусақ ізінде болды деп үйретесіз, ал олай емес еді.

Әр бэкэнд ұсынатын сертификатты салыстырыңыз

Үзілісті нәтижелер әдетте бірнеше эндпоинтті білдіреді, ал бір түйінге қолданылған жаңарту қалғандарын ескі нысанды ұсынып тұруға қалдырады. Әр бэкэндті ортақ атаумен емес, мекенжайымен салыстырыңыз.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Бір түйін артта қалған пул екінші әрекетте қосылып, біріншісінде сәтсіздікке ұшырайтын клиентті түсіндіреді. Ол пайдаланушылар шағымданғанда өтетін мониторинг тексеруін де түсіндіреді. Алдымен артта қалуды түзетіңіз. Әр түйін жаңа сертификатты ұсынбай тұрып сенім конфигурациясын айналдыру ештеңе жұмыс істемейтін терезе жасайды, ал кейін айналдыру клиенттерді болжамсыз сәтсіздікке қалдырады.

Сенімді басқарылатын жолмен өзгертіңіз

Ауыстыруды кез келген жерде қабылдамас бұрын сенімді әкімшілік арна арқылы растаңыз. Сенімді мерзім аяқталу күні меншік дәлелі емес. Басқарылатын конфигурацияны оған ие процестің көмегімен жаңартыңыз, қолайлы сәйкестіктердің жоспарланған қабаттасуымен, және орналастыру талап ететін атауды тексеруді сақтаңыз. Атауды тексерусіз бекіту ол алмастырған CA сенімінен әлсіз дизайн.

Содан кейін әр клиентті тексеріңіз, қосылыңыз, ол қабылдаған сәйкестікті растаңыз және ол қазір сенетін сертификат нұсқасын жазып алыңыз. Бір рет қабылданбаған ескерту келесі жаңартуда қайта оралғысы келеді.