Client VPN сертификатын қайта импорттау неге жаңа соңғы нүктені қажет етеді

Client VPN байланысы үзіледі, ACM-дегі сертификат ауыстырылады және ештеңе өзгермейді. Сертификат нысаны соңғы нүктенің пайдаланған заты ешқашан болған емес. Соңғы нүкте жасалу кезінде сертификатпен байланысты, онымен бірге тексеретін клиент CA-ын, аутентификация түрін, ішкі желілерді және авторизация ережелерін сақтайды, және бұл байланыстардың ешқайсысында ауыстырушы сертификатты қабылдайтын өзгерту шақыруы жоқ. ARN артындағы байттарды ауыстыру — сертификаттағы өзгеріс, оны ұстап қалған соңғы нүктедегі емес.

Соңғы нүкте сертификаттарды емес, сілтемелерді сақтайды

Механизмді дәл баяндау керек, өйткені ол бүкіл ақауды түсіндіреді. create-client-vpn-endpoint сервер сертификатының ARN-ін және клиенттің түбірлік сертификаттар тізбегінің ARN-ін алады, ал пайда болған соңғы нүкте сол сілтемелерді аутентификация опцияларымен бірге тұрақты қасиеттер ретінде ұстайды. API қолданыстағы соңғы нүктеде сервер сертификатын ауыстыратын операция ұсынбайды.

Байланысты болжамсыз растай аласыз. aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 сертификаттың ARN-ін, клиенттің түбірлік тізбегінің ARN-ін, аутентификация түрін, клиент CIDR-ін және байланысты ішкі желілерді шығарады, бұл қайта жасауға тиіс қасиеттердің толық жиыны. Оны қайта импорттан бұрын және кейін іске қосыңыз, шығыс қозғалмайды. Бұл қайта импорттың ешқашан көмектеспейтінінің дәлелі.

Неге қайта импорт соңғы нүктеге жете алмайды

Қайта импорт қолданыстағы ARN астына жаңа сертификат денесін жазады. Бұл сертификат мерзімінің бітуіне жақын кезде заңды операция, және ACM оны жеке кілт сәйкес келсе және тізбек валидациядан өтсе қабылдайды. Ол жасамайтыны — соңғы нүктенің жасалу кезіндегі валидациясын қайта іске қосу, сондықтан байланыс және оның артындағы материал соңғы нүкте салынған кездегі күйінде қалады.

Сондықтан симптом желілік ақауға ұқсайды. TLS қол алысуы авторизация бағаланбай тұрып сәтсіз аяқталады немесе қайта орнатылады, сондықтан қауіпсіздік топтары, маршруттар және авторизация ережелері бәрі кінәсіз көрінеді, және солай.

Тізбек клиент сертификатының бөлігі

Ақаудың екінші жартысы клиент сертификатында, және оны елемеу оңайырақ. Клиент сертификатын оны шығарған тізбекпен бірге импорттау керек, импорт формасы бұл өрісті міндетті емес деп көрсетсе де. Тізбексіз соңғы нүкте клиент сертификатынан өзі конфигурацияланған клиенттің түбірлік CA-ына дейін жол сала алмайды, және байланыс пакеттерді тастайтын фаерволға ұқсайтын жұмсақ қайта орнатумен аяқталады. openssl verify -CAfile root-ca.pem client.crt бұл сұраққа жергілікті түрде бір секундта жауап береді, және бұл сіз іске қосатын бірінші команда болуы керек.

Тізбекпен қайта импорттау сол жарты үшін нақты түзету, және ол өздігінен жеткіліксіз. ACM нысаны өзгергеннен кейін ескі байланысты ұстап тұрған соңғы нүкте — сынауды жалғастыруға дұрыс емес нәрсе. Екі қадам да бір жөндеуге жатады, сондықтан екі бөлікті түзету қайшылық емес.

Соңғы нүктені қайта жасау — миграция

Ауыстырушы соңғы нүкте жасау — миграция, қайта әрекет емес, және оған қайта әрекет ретінде қарау командалардың екі жартылай конфигурацияланған соңғы нүктемен қалу жолы. Жаңа соңғы нүкте жаңа ID алады және, егер оны жоспарламасаңыз, әр қолданушы үшін жаңа DNS атауын алады. Клиент профилін мекенжайға емес, атауға бағыттап ұстаңыз, ауыстыру қайта бөлу емес, жазба өзгерісі болсын.

Мұны қауіпсіз ұстайтын тәртіп қысқа: жаңа соңғы нүктені сол CIDR, ішкі желілер және авторизация ережелерімен жасаңыз, aws ec2 export-client-vpn-client-configuration арқылы жаңа профиль экспорттаңыз және бір қолданушымен тексеріңіз. Тек осыдан кейін ескі соңғы нүкте түседі.

Ескі соңғы нүктені қызметтен шығарудың өз тәртібі бар. Оны жоймас бұрын шығарғыңыз келген клиент сертификаттарын кері қайтарып алыңыз, өйткені ескі CA-ға әлі сенетін жаңа соңғы нүкте жоғалды деп ойлаған сертификаттарды қабылдауды жалғастырады. Содан кейін ескі соңғы нүктені жойып, оның авторизация ережелерін алып тастаңыз, ескірген профиль жабық деп ойлаған мақсатты желіге қайта қосыла алмасын. Ескі соңғы нүктенің ID-ін және байланыс идентификаторларын өзгеріс жазбасына жазыңыз, өйткені жадымен салыстырылған миграция — жұмыс істейтін соңғы нүктені екі рет қайта салу жолы.

Диагностиканы реттеңіз

Кез келген конфигурацияны өзгерту алдында үш ақауды ажыратыңыз. Клиент TLS-ті аяқтай алмайды, клиент TLS-ті аяқтайды және авторизацияланбаған, немесе клиент қосылады және межелі орынға жете алмайды. Сертификат байланысы біріншісіне жатады, клиент мекенжайын қамтымайтын авторизация ережесі екіншісіне, ал маршрут немесе қауіпсіздік тобы үшіншісіне жатады, мұнда соңғы нүктені қайта жасау әрдайым дерлік дұрыс емес қадам.

Айлар бойы жұмыс істеп, кейін сертификат немесе саясат өзгерісінсіз тоқтаған соңғы нүкте — жеке жағдай. Оны бірдей параметрлермен қайта салу қызметті қалпына келтіруі мүмкін, бірақ бұл конфигурацияны қайта өндірілетін күйде ұстау себебі, әр оқиғада қайта салу себебі емес.

Келесі қайта салу импровизация емес, diff болуы үшін төрт нәрсені нұсқа бақылауында ұстаңыз: соңғы нүкте параметрлері, сертификат пен тізбектің ARN-дері, авторизация ережелері және клиент CIDR-і. Client VPN аутентификациясының құжаттамасы қай сертификаттың қандай рөл атқаратынын тізімдейді, және сертификат мәселе деп болжамас бұрын оны тексеру керек. Егер қайта импорт ештеңені өзгертпесе және соңғы нүкте әлі қайта орнатылса, күдікті — байланыс, ал жауап — жазылған параметрлерден салынған жаңа соңғы нүкте. Егер соңғы нүкте жаңа нысанды қабылдаса, байланыс әлдеқашан дұрыс болған және ақау клиент тізбегінде немесе авторизация қабатында.