SoftEther ServerCertSet: жаңыртылган чынжырды vpncmd менен импорттоо

Certbot ийгиликтүү жаңыртуу тууралуу билдирет, дисктеги файлдарда жаңы күндөр бар, бирок кардарлар дагы эле эски инсандыкка туш болушат. SoftEther өзүнүн SSL сервер сертификатын өзүнүн сервер деңгээлиндеги конфигурациясында сактайт, ошондуктан дисктеги жаңы файл жалбырак жана анын ачкычы импорттолмоюнча эч нерсени өзгөртпөйт. Төмөнкү ырааттуулук бир кол менен импорттоону, ар бир жаңыртуудан кийин иштеген каптоону жана угуучу чындыгында эмнени сунуштаарын окуган текшерүүнү камтыйт. Ар бир кадам кийинки жаңыртуудан кийин салыштырууга боло турган далилдерди калтырат.

Жаңыртылган файл сервердин инсандыгын өзгөртпөйт

Берүү жана жайгаштыруу — өзүнчө ийгиликсиздик режимдери бар өзүнчө окуялар. ACME кардары файлдарды тек каталогуна жазып, ийгиликти жазат; SoftEther конфигурациясына акыркы жүктөлгөн сертификатты колдонууну улантат. Ошондуктан нөлдүк чыгуу статусу файлдарды сүрөттөйт, кызматты эмес, жана эч ким карабаганча бул экөө айырмаланышы мүмкүн. Импортту жайгаштыруу кадамы, ал эми жаңыртууну анын кириши деп караңыз.

Бул айырмачылык баш аламан жарым ийгиликсиздикти да түшүндүрөт: эски сертификат мөөнөтү бүткөнгө чейин иштейт, ошондуктан башында эч нерсе бузулгандай көрүнбөйт. Мөөнөтү бүткөндө бардык кардарлар бир убакта ийгиликсиз болушат, бул өткөрүп жиберилген жайгаштыруу кадамы эмес, тыныгуу сыяктуу көрүнөт. Ар бир жаңыртуудан кийин сунушталган инсандыкты текшерүү ошол таң калууну кадимки байкоого айландырат.

Угуучуга туура келген чакырыкты тандаңыз

Сертификат кардарлар текшере турган хостту аташы керек, ошондуктан ички белги же дарек ордуна коомдук DNS атын колдонуңуз. HTTP-01 чакырыкка 80 портунда бир аз убакыт жооп берүүнү талап кылат, бул убактылуу угуучу жана эч качан SoftEther өзүнүн портун жылдырууга себеп эмес. DNS-01 жазуу аркылуу көзөмөлдү далилдейт жана кирүүчү HTTP таптакыр керек эмес.

Көзөмөлсүз жаңыртуу бир аймакка чектелген каттоо маалыматтары менен автоматташтырылган DNS интеграциясын билдирет, эки айда бир кол менен терилген TXT жазуусун эмес. Жапайы белги чакырыктын түрүн өзгөртөт, ошол автоматташтыруунун зарылдыгын эмес. Муну биринчи сертификат пайда болоордон мурун чечиңиз, анткени чакырыктын түрүн кийин өзгөртүү кардар конфигурациясына жана брандмауэрге бирге тийүүнү билдирет.

Бул жерде турганда артефактыларды тартипте кармаңыз. Жалбырак жана ортолук сертификаттар өзүнчө файлдар жана бир бириктирилген чынжыр файлы катары келет, жеке ачкыч дагы өзүнчө, ал эми импортко өзүнүн тиешелүү ачкычы менен чынжыр керек, жалгыз коомдук сертификат эмес.

Чынжырды сервер деңгээлинде импорттоңуз

Сертификатка тийүүдөн мурун сервер конфигурациясынын камдык көчүрмөсүн жасап, башкаруу интерфейсине дагы жете аларыңызды ырастаңыз. Virtual Hub администратору катары эмес, сервер администратору катары туташыңыз, анткени сертификат сервер объектисине таандык. Андан кийин чынжырды жана ачкычты абсолюттук жол менен, буйрукту аткарган эсеп окуй алган файлдардан жүктөңүз. Жолдор абсолюттук, анткени буйрук аларды vpncmd аткарган процесстин жумуш каталогунан чечет:

ServerCertSet /LOADCERT:/etc/letsencrypt/live/vpn.example.com/fullchain.pem /LOADKEY:/etc/letsencrypt/live/vpn.example.com/privkey.pem

Ийгиликти божомолдоонун ордуна буйруктун чыгышын окуңуз, анан өткөргөн файлга ишенүүнүн ордуна чынжырды кайра окуңуз. Толук PEM топтомун импорттогон курулуштар менен биринчи сертификатты гана алган курулуштардын ортосундагы чек бир жерде документтелген эмес, ошондуктан алдыңыздагы курулуш үчүн текшерүү чечет. Угуучу сунуштаган сертификаттарды санаңыз; ортолуктарсыз жалбырак биринчи блокту гана колдонгон импорттоочунун кол тамгасы.

Импорттолгон ачкычты серверди аткарган эсеп үчүн гана окула тургандай кармаңыз, башкаруу сырсөзүн shell тарыхынан тышкары кармаңыз. Бул биринчи импортто сырсөздү буйрук аргументи катары берүүнүн ордуна сурамда терүү керек. Бул эки адат эч нерсеге турбайт жана сертификат жайгаштыруу коргоого тийиш нерсени жарыя кылуучу эң кеңири жолду жояды. Муну биринчи импорттон мурун жасаңыз, кийин эмес.

Жайгаштырууну илип коюңуз, жаңыртууну эмес

Кол менен импорттоо иштегенден кийин, дал ошол кадамдарды кичинекей каптоого салып, ийгиликтүү жаңыртуудан кийин аны ACME кардарынан чакырыңыз. Certbot илмек үчүн RENEWED_LINEAGE жана RENEWED_DOMAINS өзгөрмөлөрүн орнотот, ошондуктан каптоо бир нече сертификатты башкарган машинада бир сертификатка аракет кыла алат. Хосттогу ар бир жаңыртууга жооп берүүнүн ордуна тек боюнча чыпкалаңыз. Каптоо сервердин артыкчылыктары менен иштеген жайгаштыруу коду, ошондуктан аны ошол ордундагы ар кандай скрипт сыяктуу карап чыгыңыз.

certbot renew --deploy-hook /usr/local/sbin/softether-deploy.sh

Көзөмөлсүз иштеген илмекке өзүнүн корголгон каттоо маалымат кампасы жана адамга жеткен ийгиликсиздик сигналы керек. Эгер берүү ийгиликтүү болуп, импорт ийгиликсиз болсо, башка сертификат суроонун ордуна импортту кайталаңыз, анткени экинчи суроо жайгаштыруу кемчилигин жаңы файлдын артына жашырат. Certbot жаңыртуу документтери эч нерсени жаңыртпаган иштетүү кадимки натыйжа экенин ачык айтат, ошондуктан экөөнү ажыраткан нерсе — илмек.

Сунушталган чынжырды файл менен салыштырыңыз

Дискти эмес, угуучуну окуңуз. Кардарлар колдонгон сервер аты менен кардар тарапка караган портко туташыңыз, анан манжа изин жана жеткирилген чынжырды илмек орноткон тек менен салыштырыңыз. Муну эки буйрук камтыйт, ал эми биринчиси ортолуктардын таптакыр келерин да көрсөтөт:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | grep -c 'BEGIN CERTIFICATE'
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -fingerprint -sha256

Андан кийин жаңы кардар байланышын түзүңүз, анткени импорттон мурун түзүлгөн сессиялар мурунку инсандыкка каршы аутентификацияланган жана жаңысы жөнүндө эч нерсени далилдебейт. Эгер кардарлар эски жалбыракты бекитсе, коомдук чынжыр жарактуу болсо да аларга шайкештелген жаңыртуу керек, жана бул тапшырма жаңыртуу менен бир эле runbook-ко таандык. Кызматтын алдындагы кайтарым прокси жакшы сертификат сунушташы мүмкүн, ал эми VPN угуучусу дагы эле эскисин кармап турат, ошондуктан текшерүү кардарлар чындыгында жеткен портту аташы керек. Манжа изин жаңыртуу күнүнүн жанына жазыңыз, кийинки салыштыруу эс тутум аракети эмес, текшерүү болсун.