Access Server веб сертификат катасы: бош CA топтому

Бош ca_bundle мааниси же бузулган PEM администратордук интерфейсти токтотот. Кайра баштоодон мурун сертификатты, ачкычты жана чынжырды бир топтом катары текшериңиз, VPN PKI ге тийбеңиз.

DNS туура чечилип жатканда жүктөлбөгөн веб кирүү барагы адатта DNS маселеси эмес. Эгер кызмат журналы топтомдун бош жолун же веб сертификат менен жеке ачкычтын PEM талдоо катасын жазса, HTTPS угуучусунда пайдалуу материал жок жана атты чечүү жардам бербейт. Оңдоо үч конфигурация ачкычында жана VPN кардарынын сертификатын кайра берүүнү талап кылбайт.

Үч ачкыч эмнени көрсөтөт

Ыңгайлаштырылган веб сертификаттар топтому cs.cert, cs.priv_key жана cs.ca_bundle менен сүрөттөлөт. Ар бири файл жолун сактайт, веб кызмат үчөөнү чогуу колдонот. Туура эмес ачкычтуу сертификат же чындыгында жалбырак сертификаты болгон чынжыр файлы бош маанидей ийгиликсиз болот.

Бул ачкычтар Admin жана Client веб интерфейсине таандык. Алар VPN кардарларына сертификат берүүчү PKI ден өзүнчө, ошондуктан алмаштыруу профилдерге, сервер ачкычына же сертификат органына тийүүнү талап кылбайт. Бүт PKI ни кайра куруу бул жердеги эң кымбат ката.

Бир айырма убакытты үнөмдөйт: ачык бош ыңгайлаштырылган маани жабуу жок абалга барабар эмес. Биринчиси талдоочуга бош жол берет, журнал сабы ушундай дейт. Экинчиси Access Server ди өз материалында калтырат, ошондуктан кээ бир хосттор жаңыртуудан кийин жакшы көтөрүлөт, кээ бирлери көтөрүлбөйт.

Эмне үчүн бар файл талданган жок

Талдоочу файлдын атын эмес, файл ичиндеги белгиленген блокторду окуйт. Жеке ачкычы бар .crt, бир сертификат күтүлгөн жерде бир блок катары жазылган чынжыр же акыркы сабы кесилген файл четке кагылат. RFC 7468 бул белгилерди кийинки объектинин түрүн айткан жалгыз нерсе болгондуктан аныктайт.

Объектилерди текшериңиз, кеңейтүүлөрдү эмес. Linux та openssl x509 -noout -subject -issuer -in server.pem жана openssl pkey -noout -check -in key.pem эки маанилүү суроого жооп берет, модулду же ачык ачкычты салыштыруу алардын бирге экенин далилдейт. Жеке ачкычтын чыгарылышын билеттерден жана чат журналдарынан алыс кармаңыз.

Бош жол да бузулган файл сыяктуу шек туудурат, анткени экөө тең бүдөмүк кийинки каталарды берет. Эгер журнал топтомдун жолу бош десе, файлды оңдоодон мурун сакталган маанини окуңуз.

Атайын камдыкка кайтуу

Access Server CLI инде үч жолду аргумент катары алган жана топтомдун жарактуулугун билдирген текшерүү бар. Төмөнкү жолдор мисал; аларды хосттун корголгон жерлери менен алмаштырыңыз.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Иштеп жаткан кызматка тийүүдөн мурун жыйынтыкты окуңуз, анан маанилерди импорттоп, орнотулган версиянын документтелген операциясы менен колдонуңуз. расмий CLI окуу куралы текшерүүнү, импортту жана колдонуу кадамын камтыйт, анын версиясы ар кандай корутундудан маанилүү.

Колдонуучулар жазган атты текшериңиз

Ыңгайлаштырылган материал бузулуп, жарактуу курулган камдык бар болсо, документтелген калыбына келтирүү үч жабууну алып салуу жана камдыкты колдонууга жол берүү. Алгач консолго кирүү жана учурдагы конфигурациянын көчүрмөсүн камсыз кылыңыз.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Бүт конфигурация базасын өчүрүү сертификатты оңдоо эмес. Ошол үч ачкычты максат кылыңыз, колдонуңуз жана веб интерфейстин жооп бергенин текшериңиз. web-ssl каталогундагы өзүнүн колу менен кол коюлган файлдар камдык ресурс, жумуш орду эмес.

Камдык күчүнө киргенден кийин браузер башка сертификат көрсөтөт деп күтүңүз. Бул туура жыйынтык; аны ишенимдүү административдик процессиңиз менен текшериңиз.

Калыбына келтирүү ийгиликтүү кирүү менен бүтөт

TCP угуучусу пайда болгондо калыбына келтирүү бүтпөйт. DNS атын, сертификаттын инсандыгын жана ошол аттын чынжырын текшериңиз, анан Admin жана Client интерфейстерин жүктөп, кирүүнү аяктаңыз. Порт текшерүү муну далилдебейт.

Access Server 3.1 жана андан кийинкилер ар бир SNI хост аты үчүн ар башка веб сертификаттарын сунуштай алат. Эгер бул конфигурацияланса, демейки ачкычтар жана атка тиешелүү жазуулар өзүнчө топтомдор, ал эми IP аркылуу текшерүү колдонуучулар алгандан башка сертификатты көрсөтүшү мүмкүн. Ийгиликсиз аттын топтомун оңдоп текшериңиз жана кирүү тестин кайталаңыз.

Тектеш макалалар