Жаңыртылган VPN сертификаты: айрым кардарлар аны дагы эле четке кагууда

Жаңыртуудан кийин чөйрөнүн жарымы кайра туташат, ал эми үч түзмөк баш тартат, ар бири шлюздун инсандыгы тууралуу эскертүү менен. Жаңыртуунун өзү кадимки иш. Ошол үч түзмөктө эски объектиге бекитүү бар, жана бекитүү CA тизмеси да, ат текшерүү да, ишеним кампасынын жазуусу да эмес. Кандайдыр бир кардарга тийүүдөн мурун үч механизмди салыштырыңыз.

Бир жаңыртуу, эки жүрүм-турум

Кайра туташкан кардарларда ишеним чечими дагы эле өтөт, ал эми баш тарткандарда жаңы сертификат канааттандырбаган талап бар. Бул айырма маалымат, ызы-чуу эмес. Ийгиликсиз кардардын билдирүүсүн так окуңуз. Аттын дал келбестиги, белгисиз чыгаруучу жана өзгөргөн манжа изи үч башка өкүм, жана акыркысы гана бекитүүгө көрсөтөт.

Ийгиликсиз кардар кайсы профилди тандаганын да текшериңиз. Өз кампасында жашаган импорттолгон көчүрмө администратор баштапкы файлды башка жерде оңдогондо өзгөрбөйт.

Жаңыртуу объектини алмаштырат, күндү гана эмес

Манжа изи коддолгон сертификаттын мазмунун аныктайт. Жаңыртуу жаңы сертификат жаратат, ошондуктан субъект аты жана ачык ачкыч ошондой бойдон калса да манжа изи өзгөрөт. Бул CAга ишенген жана атты текшерген кардарлар үчүн күтүлгөн жана зыянсыз. Бул так бир сертификатты кабыл алууга конфигурацияланган кардар үчүн өлүмгө алып барат, жана ишеним кампасы жаңы чыгаруучуну эч качан албаган кардар үчүн да өлүмгө алып барат.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Экинчи сап башка суроого жооп берет, ачкыч түгөйү аман калдыбы. Ачкычты кайра колдонгон жаңыртуу ошол маанини сактап, сертификатты гана өзгөртөт, жана дал ушул учурда администратор эч нерсе өзгөргөн жок деп ойлоого азгырылат. Жайгаштырылган сертификатты текшериңиз, куруу хостунун үстүндөгүнү эмес. Репозиторийдеги файлды салыштыруу эмне жаралганын далилдейт, угуучу азыр эмнени сунуштап жатканын эмес.

Кардар эмнени бекитип жатканын окуңуз

Айрым кардарлар манжа изин профилинде сактап, ар бир туташууда салыштырат. Башкалары аны платформанын ишеним кампасында сактайт, дагы башкалары CAга гана таянат. Оңдоо ар бир учурда башкача, ошондуктан адегенде механизмди аныктаңыз.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Биринчи буйрук салттуу профилдеги бекитүүнү көрсөтөт; экинчиси эндпоинт дал азыр сунуштап жаткан манжа изин көрсөтөт. Бул экөө айырмаланса, сиз болжолсуз бузулууну таптыңыз. Жаңы маанини ар бир нааразы кардарга чаптабаңыз. Чыгаруучу себебинен баш тарткан кардар баш тарта берет, жана сиз өзүңүзгө маселе манжа изинде болгон деп үйрөтөсүз, бирок андай эмес болчу.

Ар бир бэкенд сунуштаган сертификатты салыштырыңыз

Үзүлүктүү жыйынтыктар адатта бир нече эндпоинтти билдирет, жана бир түйүнгө колдонулган жаңыртуу калгандарын эски объектини сунуштоого калтырат. Ар бир бэкендди жалпы ат менен эмес, дареги менен салыштырыңыз.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Бир түйүн артта калган пул экинчи аракетте туташып, биринчисинде ийгиликсиз болгон кардарды түшүндүрөт. Ал колдонуучулар нааразы болгондо өткөн мониторинг текшерүүсүн да түшүндүрөт. Алгач артта калууну оңдоңуз. Ар бир түйүн жаңы сертификатты сунуштаганга чейин ишеним конфигурациясын айландыруу эч нерсе иштебеген терезе жаратат, ал эми кийин айландыруу кардарларды болжолсуз ийгиликсиздикке калтырат.

Ишенимди башкарылуучу жол менен өзгөртүңүз

Алмаштырууну кайсыл жерде болбосун кабыл алуудан мурун ишенимдүү административдик канал аркылуу ырастаңыз. Ишенимдүү бүтүү датасы ээликтин далили эмес. Башкарылуучу конфигурацияны ага ээ болгон процесс аркылуу жаңыртыңыз, жарактуу инсандыктардын пландалган кабатташуусу менен, жана жайгаштыруу талап кылган ат текшерүүсүн сактаңыз. Ат текшерүүсүз бекитүү ал алмаштырган CA ишениминен алсызыраак долбоор.

Андан кийин ар бир кардар боюнча текшериңиз, туташыңыз, ал кабыл алган инсандыкты ырастаңыз жана ал азыр ишенген сертификаттын версиясын белгилеңиз. Бир жолу четке кагылган эскертүү кийинки жаңыртууда кайра келүү адаты бар.