Webzertifikatsfehler um Access Server: de leere CA-Bundle

En leere ca_bundle-Wert oder e beschiedegt PEM hält d^Admin-Interface un. Iwwerpréift Zertifikat, Schlëssel a Kette als ee Set virum Neistart, a looss d^VPN-PKI a Rou.

Eng Web-Login-Säit déi sech net lued, während DNS richteg opgeléist gëtt, ass meeschtens keen DNS-Problem. Wann de Service-Log en leere Zertifikatsbundle-Pfad oder e PEM-Parsefehler fir de Webzertifikat an de private Schlëssel ernimmt, huet de HTTPS-Listener kee brauchbare Material a keng Nummopléisung hëlleft. D'Reparatur läit an dräi Konfiguratiounsschlësselen an erfuerdert net, ee VPN-Clientzertifikat nei auszestellen.

Op wat déi dräi Schlësselen tatsächlech weisen

De personaliséierten Webzertifikatsset gëtt duerch cs.cert, cs.priv_key an cs.ca_bundle beschriwwen. Jiddereen späichert e Dateipfad, an de Webservice benotzt déi dräi zesummen. En Zertifikat mat dem falsche Schlëssel oder eng Kettedatei déi tatsächlech de Blat-Zertifikat ass, fält wéi en leere Wäert.

Dës Schlësselen gehéieren zur Admin- an Client-Weboberfläche. Si sinn getrennt vun der PKI déi Zertifikate fir VPN-Cliente ausstellt, dofir brauch een beim Ersetzen net d'Clientprofiler, de Serverschlëssel oder d'Zertifizéierungsautoritéit unzegren. Eng Web-TLS-Stéierung als Grond ze huelen fir déi ganz PKI nei opzebauen ass deierste Feeler hei.

Een Ënnerscheed spuert Zäit: en explizit leere personaliséierte Wäert ass net deeselwechte Staat wéi guer keng Iwwerschreiwung. Den éischten gëtt dem Parser en leere Pfad, dat seet d'Logzeil. Den zweeten léisst Access Server op sengem eegene Material.

Firwat eng existéierend Datei nach ëmmer net parst

De Parser liest déi etikettéiert Blocken an der Datei, net den Dateinumm. En .crt mat privatem Schlëssel, eng Kette als ee verschmolzene Block oder eng Datei mat ofgeschniddener leschter Zeil gëtt ofgelehnt. RFC 7468 definéiert déi liesbar Etiketten, well se dat eenzegt sinn wat dem Lieser seet wéi en Objekt duerno kënnt.

Kuckt d'Objete an, net d'Erweiderungen. Op engem Linux-Host äntweren openssl x509 -noout -subject -issuer -in server.pem an openssl pkey -noout -check -in key.pem op déi zwou wichteg Froen, an de Verglach vum Modulus oder ëffentleche Schlëssel beweist datt se zesummenhéieren. Halt de private Schlëssel aus Ticketen a Chatlogen eraus.

En leere Pfad verdéngt deeselwechte Verdacht wéi eng beschiedegt Datei, well béid vague Feeler duerno ginn. Wa de Log seet de Bundlepfad ass eidel, liest de gespäicherte Wäert ier Dir d'Datei debuggt.

Bewosst op de Fallback zréckgoen

D'CLI vum Access Server huet eng Validéierung déi déi dräi Pfad als Argumenter hëlt a mellen ob de Set brauchbar ass. D'Pfad hei ënnen sinn illustrativ; ersetzt se duerch déi geschützt Plazen um Host.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Liest d'Resultat ier Dir de lafenden Service beréiert, an importéiert dann d'Wäerter a wend se un iwwer déi dokumentéiert Operatioun fir déi installéiert Versioun. Den offizielle CLI-Tutorial deckt Validéierung, Import an Uwendung of, an seng Versioun zielt méi wéi all Zesummefaassung.

Iwwerpréift den Numm, deen d'Benotzer tatsächlech tippen

Wann dat personaliséiert Material futti ass an e gültege agebaute Fallback nach existéiert, ass déi dokumentéiert Restauratioun déi dräi Iwwerschreiwungen ewechzehuelen an Access Server dee Fallback benotzen ze loossen. Suergt fir d'éischt fir Konsolzougang an eng Kopie vun der aktueller Konfiguratioun.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Déi ganz Konfiguratiounsdatebank läschen ass keng Zertifikatsreparatur. Zielt op déi dräi Schlësselen, wend un a bestätegt datt d'Weboberfläche äntwert. D'selbstsignéiert Dateien am web-ssl-Verzeechnis sinn d'Fallback-Ressource, keen Aarbechtsraum.

Erwaart datt de Browser en anert Zertifikat weist nodeems de Fallback wierkt. Dat ass d'richtegt Resultat; iwwerpréift et iwwer Ären vertrauenswürdegen Administratiounsprozess.

D'Restauratioun ass eréischt no engem erfollegräichen Login fäerdeg

D'Restauratioun ass net fäerdeg wann en TCP-Listener erschéngt. Iwwerpréift den DNS-Numm, d'Identitéit vum Zertifikat an d'Kette fir deen Numm, lued dann d'Admin- an d'Client-Weboberfläche a kompletéiert en Login. Eng Portpréifung beweist näischt dovun.

Access Server 3.1 a spéider kënnen ënnerschiddlech Webzertifikaten pro SNI-Hostnumm ubidden. Wann dat konfiguréiert ass, sinn d'Standardsschlësselen an d'Numm-spezifesch Entréen getrennte Sets, an en Test iwwer IP-Adress weist liicht en anert Zertifikat wéi d'Benotzer kréien. Reparéiert a validéiert de Set fir den Numm deen ausgefall ass, a widderhollt den Login-Test.

Ähnlech Artikelen