Access Server ನಲ್ಲಿ ವೆಬ್ ಪ್ರಮಾಣಪತ್ರ ದೋಷ: ಖಾಲಿ CA ಬಂಡಲ್

DNS ಸರಿಯಾಗಿ ಬಿಡಿಸುತ್ತಿರುವಾಗ ಲೋಡ್ ಆಗದ ವೆಬ್ ಲಾಗಿನ್ ಪುಟ ಸಾಮಾನ್ಯವಾಗಿ DNS ಸಮಸ್ಯೆ ಅಲ್ಲ. ಸೇವಾ ಲಾಗ್ ಖಾಲಿ ಪ್ರಮಾಣಪತ್ರ-ಬಂಡಲ್ ಮಾರ್ಗ ಅಥವಾ ವೆಬ್ ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಖಾಸಗಿ ಕೀಗೆ PEM ಪಾರ್ಸ್ ವೈಫಲ್ಯ ತಿಳಿಸಿದರೆ, HTTPS ಶ್ರೋತೆಗೆ ಉಪಯುಕ್ತ ಸಾಮಗ್ರಿ ಇಲ್ಲ ಮತ್ತು ಹೆಸರು ಬಿಡಿಸುವಿಕೆ ಸಹಾಯ ಮಾಡದು. ದುರಸ್ತಿ ಮೂರು ಸಂರಚನಾ ಕೀಗಳಲ್ಲಿದೆ ಮತ್ತು ಯಾವುದೇ VPN ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರ ಮರುನೀಡಿಕೆ ಬೇಕಿಲ್ಲ.

ಮೂರು ಕೀಗಳು ನಿಜವಾಗಿ ಏನನ್ನು ಸೂಚಿಸುತ್ತವೆ

ಕಸ್ಟಮ್ ವೆಬ್ ಪ್ರಮಾಣಪತ್ರ ಸೆಟ್ ಅನ್ನು cs.cert, cs.priv_key ಮತ್ತು cs.ca_bundle ವಿವರಿಸುತ್ತವೆ. ಪ್ರತಿಯೊಂದೂ ಫೈಲ್ ಮಾರ್ಗವನ್ನು ಸಂಗ್ರಹಿಸುತ್ತದೆ ಮತ್ತು ವೆಬ್ ಸೇವೆ ಮೂರನ್ನೂ ಒಟ್ಟಿಗೆ ಬಳಸುತ್ತದೆ. ತಪ್ಪು ಕೀ ಇರುವ ಪ್ರಮಾಣಪತ್ರ ಅಥವಾ ಎಲೆ ಪ್ರಮಾಣಪತ್ರವೇ ಆಗಿರುವ ಸರಣಿ ಫೈಲ್ ಖಾಲಿ ಮೌಲ್ಯದಂತೆ ವಿಫಲವಾಗುತ್ತದೆ.

ಈ ಕೀಗಳು Admin ಮತ್ತು Client ವೆಬ್ ಇಂಟರ್ಫೇಸ್ಗೆ ಸೇರಿವೆ. ಅವು VPN ಕ್ಲೈಂಟ್ಗಳಿಗೆ ಪ್ರಮಾಣಪತ್ರ ನೀಡುವ PKI ಗಿಂತ ಪ್ರತ್ಯೇಕ, ಆದ್ದರಿಂದ ಬದಲಾವಣೆಗೆ ಪ್ರೊಫೈಲ್, ಸರ್ವರ್ ಕೀ ಅಥವಾ ಪ್ರಮಾಣಪತ್ರ ಪ್ರಾಧಿಕಾರ ಮುಟ್ಟಬೇಕಿಲ್ಲ. ಇಡೀ PKI ಮರುನಿರ್ಮಿಸುವುದು ಇಲ್ಲಿ ಅತ್ಯಂತ ದುಬಾರಿ ತಪ್ಪು.

ಒಂದು ವ್ಯತ್ಯಾಸ ಸಮಯ ಉಳಿಸುತ್ತದೆ: ಸ್ಪಷ್ಟವಾಗಿ ಖಾಲಿ ಕಸ್ಟಮ್ ಮೌಲ್ಯವು ಯಾವುದೇ ಓವರ್ರೈಡ್ ಇಲ್ಲದ ಸ್ಥಿತಿಗೆ ಸಮಾನವಲ್ಲ. ಮೊದಲನೆಯದು ಪಾರ್ಸರ್ಗೆ ಖಾಲಿ ಮಾರ್ಗ ನೀಡುತ್ತದೆ, ಲಾಗ್ ಸಾಲು ಅದನ್ನೇ ಹೇಳುತ್ತದೆ. ಎರಡನೆಯದು Access Server ಅನ್ನು ತನ್ನದೇ ಸಾಮಗ್ರಿಯಲ್ಲಿ ಬಿಡುತ್ತದೆ.

ಇರುವ ಫೈಲ್ ಸಹ ಏಕೆ ಪಾರ್ಸ್ ಆಗುವುದಿಲ್ಲ

ಪಾರ್ಸರ್ ಫೈಲ್ನ ಹೆಸರನ್ನಲ್ಲ, ಫೈಲ್ನೊಳಗಿನ ಲೇಬಲ್ ಬ್ಲಾಕ್ಗಳನ್ನು ಓದುತ್ತದೆ. ಖಾಸಗಿ ಕೀ ಇರುವ .crt, ಒಂದೇ ಪ್ರಮಾಣಪತ್ರ ನಿರೀಕ್ಷಿಸಿದ ಸ್ಥಳದಲ್ಲಿ ಒಂದೇ ಬ್ಲಾಕ್ ಆಗಿ ಬರೆದ ಸರಣಿ, ಅಥವಾ ಕೊನೆಯ ಸಾಲು ಕತ್ತರಿಸಿದ ಫೈಲ್ ತಿರಸ್ಕರಿಸಲ್ಪಡುತ್ತದೆ. RFC 7468 ಆ ಲೇಬಲ್ಗಳನ್ನು ವ್ಯಾಖ್ಯಾನಿಸುವುದು ಮುಂದಿನ ವಸ್ತುವಿನ ಪ್ರಕಾರವನ್ನು ತಿಳಿಸುವ ಏಕೈಕ ಸಾಧನವಾಗಿರುವುದರಿಂದ.

ವಸ್ತುಗಳನ್ನು ಪರಿಶೀಲಿಸಿ, ವಿಸ್ತರಣೆಗಳನ್ನಲ್ಲ. Linux ನಲ್ಲಿ openssl x509 -noout -subject -issuer -in server.pem ಮತ್ತು openssl pkey -noout -check -in key.pem ಎರಡು ಮುಖ್ಯ ಪ್ರಶ್ನೆಗಳಿಗೆ ಉತ್ತರಿಸುತ್ತವೆ ಮತ್ತು ಎರಡರ ಮಾಡ್ಯುಲಸ್ ಅಥವಾ ಸಾರ್ವಜನಿಕ ಕೀ ಹೋಲಿಸುವುದು ಅವು ಜೊತೆಯಾಗಿವೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ. ಖಾಸಗಿ ಕೀ ಔಟ್ಪುಟ್ ಟಿಕೆಟ್ ಮತ್ತು ಚಾಟ್ ಲಾಗ್ಗಳಿಂದ ದೂರವಿರಿಸಿ.

ಖಾಲಿ ಮಾರ್ಗವು ಹಾಳಾದ ಫೈಲ್ನಷ್ಟೇ ಸಂಶಯಕ್ಕೆ ಅರ್ಹ, ಏಕೆಂದರೆ ಎರಡೂ ಅಸ್ಪಷ್ಟ ಮುಂದಿನ ದೋಷಗಳನ್ನು ನೀಡುತ್ತವೆ. ಲಾಗ್ ಬಂಡಲ್ ಮಾರ್ಗ ಖಾಲಿ ಎಂದರೆ, ಫೈಲ್ ಡೀಬಗ್ ಮಾಡುವ ಮೊದಲು ಸಂಗ್ರಹಿತ ಮೌಲ್ಯ ಓದಿ.

ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಫಾಲ್ಬ್ಯಾಕ್ಗೆ ಹಿಂತಿರುಗಿ

Access Server CLI ಯಲ್ಲಿ ಮೂರು ಮಾರ್ಗಗಳನ್ನು ಆರ್ಗ್ಯುಮೆಂಟ್ಗಳಾಗಿ ತೆಗೆದುಕೊಳ್ಳುವ ಮತ್ತು ಸೆಟ್ ಉಪಯುಕ್ತವೇ ಎಂದು ವರದಿ ಮಾಡುವ ಪರಿಶೀಲನೆ ಇದೆ. ಕೆಳಗಿನ ಮಾರ್ಗಗಳು ಉದಾಹರಣೆ; ಅವನ್ನು ಹೋಸ್ಟ್ನ ಸಂರಕ್ಷಿತ ಸ್ಥಳಗಳಿಂದ ಬದಲಾಯಿಸಿ.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

ಚಾಲನೆಯಲ್ಲಿರುವ ಸೇವೆಯನ್ನು ಮುಟ್ಟುವ ಮೊದಲು ಫಲಿತಾಂಶ ಓದಿ, ನಂತರ ಮೌಲ್ಯಗಳನ್ನು ಆಮದು ಮಾಡಿ ಸ್ಥಾಪಿತ ಆವೃತ್ತಿಯ ದಾಖಲಿತ ಕಾರ್ಯಾಚರಣೆಯಿಂದ ಅನ್ವಯಿಸಿ. ಅಧಿಕೃತ CLI ಪಾಠ ಪರಿಶೀಲನೆ, ಆಮದು ಮತ್ತು ಅನ್ವಯ ಹಂತವನ್ನು ಒಳಗೊಂಡಿದೆ ಮತ್ತು ಅದರ ಆವೃತ್ತಿ ಯಾವುದೇ ಸಾರಾಂಶಕ್ಕಿಂತ ಮುಖ್ಯ.

ಬಳಕೆದಾರರು ನಿಜವಾಗಿ ಟೈಪ್ ಮಾಡುವ ಹೆಸರನ್ನು ಪರಿಶೀಲಿಸಿ

ಕಸ್ಟಮ್ ಸಾಮಗ್ರಿ ಹಾಳಾಗಿದ್ದು ಮಾನ್ಯ ಒಳನಿರ್ಮಿತ ಫಾಲ್ಬ್ಯಾಕ್ ಇದ್ದರೆ, ದಾಖಲಿತ ಮರುಪ್ರಾಪ್ತಿ ಮೂರು ಓವರ್ರೈಡ್ಗಳನ್ನು ತೆಗೆದು ಫಾಲ್ಬ್ಯಾಕ್ ಬಳಸಲು ಬಿಡುವುದು. ಮೊದಲು ಕನ್ಸೋಲ್ ಪ್ರವೇಶ ಮತ್ತು ಪ್ರಸ್ತುತ ಸಂರಚನೆಯ ಬ್ಯಾಕಪ್ ಒದಗಿಸಿ.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

ಇಡೀ ಸಂರಚನಾ ಡೇಟಾಬೇಸ್ ಅಳಿಸುವುದು ಪ್ರಮಾಣಪತ್ರ ದುರಸ್ತಿಯಲ್ಲ. ಆ ಮೂರು ಕೀಗಳನ್ನು ಗುರಿಯಾಗಿಸಿ, ಅನ್ವಯಿಸಿ ಮತ್ತು ವೆಬ್ ಇಂಟರ್ಫೇಸ್ ಉತ್ತರಿಸುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. web-ssl ಕಡತಗಳ ಸ್ವಯಂ-ಸಹಿ ಫೈಲ್ಗಳು ಫಾಲ್ಬ್ಯಾಕ್ ಸಂಪನ್ಮೂಲ, ಕೆಲಸದ ಜಾಗವಲ್ಲ.

ಫಾಲ್ಬ್ಯಾಕ್ ಜಾರಿಗೆ ಬಂದ ನಂತರ ಬ್ರೌಸರ್ ಬೇರೆ ಪ್ರಮಾಣಪತ್ರ ತೋರಿಸುತ್ತದೆ ಎಂದು ನಿರೀಕ್ಷಿಸಿ. ಅದೇ ಸರಿಯಾದ ಫಲಿತಾಂಶ; ನಿಮ್ಮ ವಿಶ್ವಾಸಾರ್ಹ ಆಡಳಿತ ಪ್ರಕ್ರಿಯೆಯಿಂದ ಪರಿಶೀಲಿಸಿ.

ಯಶಸ್ವಿ ಸೈನ್-ಇನ್ ನಂತರವೇ ಮರುಪ್ರಾಪ್ತಿ ಪೂರ್ಣ

TCP ಶ್ರೋತೆ ಕಾಣಿಸಿಕೊಂಡಾಗ ಮರುಪ್ರಾಪ್ತಿ ಮುಗಿಯುವುದಿಲ್ಲ. DNS ಹೆಸರು, ಪ್ರಮಾಣಪತ್ರದ ಗುರುತು ಮತ್ತು ಸರಣಿಯನ್ನು ಪರಿಶೀಲಿಸಿ, ನಂತರ Admin ಮತ್ತು Client ಇಂಟರ್ಫೇಸ್ಗಳನ್ನು ಲೋಡ್ ಮಾಡಿ ಸೈನ್-ಇನ್ ಪೂರ್ಣಗೊಳಿಸಿ. ಪೋರ್ಟ್ ಪರಿಶೀಲನೆ ಇವುಗಳಲ್ಲಿ ಯಾವುದನ್ನೂ ಸಾಬೀತುಪಡಿಸದು.

Access Server 3.1 ಮತ್ತು ನಂತರದವು ಪ್ರತಿ SNI ಹೋಸ್ಟ್ ಹೆಸರಿಗೆ ಬೇರೆ ವೆಬ್ ಪ್ರಮಾಣಪತ್ರ ನೀಡಬಹುದು. ಅದು ಸಂರಚಿತವಾಗಿದ್ದರೆ, ಡಿಫಾಲ್ಟ್ ಕೀಗಳು ಮತ್ತು ಹೆಸರು-ನಿರ್ದಿಷ್ಟ ನಮೂದುಗಳು ಪ್ರತ್ಯೇಕ ಸೆಟ್ಗಳು, ಮತ್ತು IP ಮೂಲಕ ಪರೀಕ್ಷೆ ಬಳಕೆದಾರರಿಗೆ ಸಿಗುವುದಕ್ಕಿಂತ ಬೇರೆ ಪ್ರಮಾಣಪತ್ರ ತೋರಿಸಬಹುದು. ವಿಫಲವಾದ ಹೆಸರಿನ ಸೆಟ್ ಸರಿಪಡಿಸಿ ಪರಿಶೀಲಿಸಿ, ನಂತರ ಸೈನ್-ಇನ್ ಪರೀಕ್ಷೆ ಪುನರಾವರ್ತಿಸಿ.