Client VPN сертификатын кайра импорттоо эмне үчүн жаңы акыркы чекитти талап кылат

Client VPN байланышы үзүлөт, ACMдеги сертификат алмаштырылат жана эч нерсе өзгөрбөйт. Сертификат объектиси акыркы чекит колдонгон нерсе эч качан болгон эмес. Акыркы чекит түзүлгөндө сертификат менен байланышты сактайт, аны менен бирге текшере турган клиент CAсын, аутентификация түрүн, ички тармактарды жана авторизация эрежелерин, жана бул байланыштардын эч биринде алмаштыруучу сертификатты кабыл алган өзгөртүү чакыруусу жок. ARNдин артындагы байттарды алмаштыруу — сертификаттагы өзгөрүү, аны кармаган акыркы чекиттеги эмес.

Акыркы чекит сертификаттарды эмес, шилтемелерди сактайт

Механизмди так баяндоо керек, анткени ал бүткүл бузулууну түшүндүрөт. create-client-vpn-endpoint сервер сертификатынын ARNин жана клиенттин тамырдык сертификаттар тизмегинин ARNин алат, ал эми пайда болгон акыркы чекит ошол шилтемелерди аутентификация опциялары менен бирге туруктуу касиеттер катары сактайт. API колдонуудагы акыркы чекитте сервер сертификатын алмаштырган операция сунуштабайды.

Байланышты божомолдобой эле ырастай аласыз. aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 сертификаттын ARNин, клиенттин тамырдык тизмегинин ARNин, аутентификация түрүн, клиент CIDRин жана байланыштуу ички тармактарды басып чыгарат, бул кайра жаратууга тийиш касиеттердин толук жыйындысы. Аны кайра импорттон мурун жана кийин иштетиңиз, чыгарылыш кыймылдабайт. Бул кайра импорт эч качан жардам бербей турганынын далили.

Эмне үчүн кайра импорт акыркы чекитке жете албайт

Кайра импорт колдонуудагы ARNдин астына жаңы сертификат денесин жазат. Бул сертификаттын мөөнөтү бүтүүгө жакындаганда мыйзамдуу операция, жана ACM аны жеке ачкыч дал келсе жана тизмек валидациядан өтсө кабыл алат. Ал кылбаганы — акыркы чекиттин түзүлүү учурундагы валидациясын кайра иштетүү, ошондуктан байланыш жана анын артындагы материал акыркы чекит курулган кездеги абалында калат.

Ошондуктан симптом тармактык бузулууга окшош. TLS кол алышуусу авторизация бааланганга чейин эле ишке ашпайт же кайра орнотулат, ошондуктан коопсуздук топтору, маршруттар жана авторизация эрежелери баары күнөөсүз көрүнөт, жана ошондой.

Тизмек клиент сертификатынын бөлүгү

Бузулуунун экинчи жарымы клиент сертификатында, жана аны этибарга албоо оңоюраак. Клиент сертификатын аны чыгарган тизмек менен бирге импорттоо керек, импорт формасы бул талааны милдеттүү эмес деп көрсөтсө да. Тизмексиз акыркы чекит клиент сертификатынан өзү конфигурацияланган клиенттин тамырдык CAсына чейин жол кура албайт, жана байланыш пакеттерди таштаган фаерволго окшош жумшак кайра орнотуу менен бүтөт. openssl verify -CAfile root-ca.pem client.crt бул суроого жергиликтүү түрдө бир секундда жооп берет, жана бул сиз иштете турган биринчи команда болушу керек.

Тизмек менен кайра импорттоо ошол жарым үчүн чыныгы оңдоо, жана ал өз алдынча жетишсиз. ACM объектиси өзгөргөндөн кийин эски байланышты кармаган акыркы чекит — сыноону улантуу үчүн туура эмес нерсе. Эки кадам тең бир оңдоого таандык, ошондуктан эки бөлүктүү оңдоо карама-каршылык эмес.

Акыркы чекитти кайра түзүү — миграция

Алмаштыруучу акыркы чекит түзүү — миграция, кайра аракет эмес, жана ага кайра аракет катары мамиле кылуу командалардын эки жарым конфигурацияланган акыркы чекит менен калышынын жолу. Жаңы акыркы чекит жаңы ID алат жана, эгер аны пландабасаңыз, ар бир колдонуучу үчүн жаңы DNS атын алат. Клиент профилин дарекке эмес, атка багыттап кармаңыз, алмашуу кайра бөлүштүрүү эмес, жазуу өзгөрүүсү болсун.

Муну коопсуз кармаган тартип кыска: жаңы акыркы чекитти ошол эле CIDR, ички тармактар жана авторизация эрежелери менен түзүңүз, aws ec2 export-client-vpn-client-configuration аркылуу жаңы профиль экспорттоп, бир колдонуучу менен текшериңиз. Ушундан кийин гана эски акыркы чекит түшөт.

Эски акыркы чекитти кызматтан чыгаруунун өз тартиби бар. Аны жок кылбастан мурун чыгаргыңыз келген клиент сертификаттарын жокко чыгарыңыз, анткени эски CAга дагы ишенген жаңы акыркы чекит жоголду деп ойлогон сертификаттарды кабыл алууну улантат. Андан кийин эски акыркы чекитти жок кылып, анын авторизация эрежелерин алып салыңыз, эскирген профиль жабык деп ойлогон максаттуу тармакка кайра туташпасын. Эски акыркы чекиттин IDсин жана байланыш идентификаторлорун өзгөрүү жазуусуна жазыңыз, анткени эстутум менен салыштырылган миграция — иштеген акыркы чекитти эки жолу кайра куруунун жолу.

Диагностиканы иреттеңиз

Каалаган конфигурацияны өзгөртүүдөн мурун үч бузулууну бөлүңүз. Клиент TLSти аяктай албайт, клиент TLSти аяктайт жана авторизацияланган эмес, же клиент туташат жана барар жерине жете албайт. Сертификат байланышы биринчисине таандык, клиент дарегин камтыбаган авторизация эрежеси экинчисине, ал эми маршрут же коопсуздук тобу үчүнчүсүнө таандык, мында акыркы чекитти кайра түзүү дээрлик ар дайым туура эмес кадам.

Айлар бою иштеп, анан сертификат же саясат өзгөрүүсүз токтогон акыркы чекит — өзүнчө учур. Аны ошол эле параметрлер менен кайра куруу кызматты калыбына келтириши мүмкүн, бирок бул конфигурацияны кайра өндүрүлүүчү абалда кармоо себеби, ар бир окуяда кайра куруу себеби эмес.

Кийинки кайра куруу импровизация эмес, diff болушу үчүн төрт нерсени версия көзөмөлүндө кармаңыз: акыркы чекиттин параметрлери, сертификат жана тизмектин ARNдери, авторизация эрежелери жана клиент CIDRи. Client VPN аутентификациясынын документтери кайсы сертификат кандай ролду ойной турганын тизмелейт, жана сертификат көйгөй деп божомолдоодон мурун аны текшерүү керек. Эгер кайра импорт эч нерсени өзгөртпөсө жана акыркы чекит дагы кайра орнотулса, шектүү — байланыш, ал эми жооп — жазылган параметрлерден курулган жаңы акыркы чекит. Эгер акыркы чекит жаңы объектини кабыл алса, байланыш мурун эле туура болгон жана бузулуу клиент тизмегинде же авторизация катмарында.