Erneiert VPN-Zertifikat: e puer Cliente refuséieren et nach ëmmer

D’Halschent vum Bestand verbënnt sech no der Erneierung erëm, an dräi Geräter refuséieren, jidderee mat enger Warnung iwwer d’Identitéit vum Gateway. D’Erneierung selwer ass Routine. Wat déi dräi Geräter halen, ass eng Fixéierung um ale Objet, an eng Fixéierung ass keng CA-Lëscht, keng Nummpréifung an keen Entrée am Truststore. Vergläicht déi dräi Mechanismen, ier Dir iergendeen Client beréiert.

Eng Erneierung, zwee Verhalen

D’Cliente, déi sech erëm verbannen, hunn eng Vertrauens-Entscheedung, déi nach duerchgeet, an déi, déi refuséieren, hunn eng Ufuerderung, déi dat neit Zertifikat net erfëllt. Dee Ënnerscheed ass Informatioun, net Kaméidi. Liest d’Message vum Client, deen haut net duerchkënnt, genee. Eng Numm-Discordanze, en onbekannte Virsteller an e geännerten Empreinte sinn dräi verschidden Uerteeler, an nëmmen dat lescht weist op eng Fixéierung.

Kuckt och, wéi ee Profil dee Client gewielt huet, deen net duerchkënnt. Eng importéiert Kopie, déi an hirem eegenen Truststore lieft, ännert sech net, wann den Administrateur d’Original-Datei soss zeänert.

Eng Erneierung ersetzt den Objet, net nëmmen den Datum

En Empreinte identifizéiert den kodéierten Zertifikats-Inhalt. Eng Erneierung produzéiert en neit Zertifikat, dofir ännert sech den Empreinte och, wann den Numm vum Sujet an de Public Key identesch bleiwen. Dat ass erwaart an harmlos fir Cliente, déi enger CA vertrauen an den Numm verifizéieren. Et ass fatal fir e Client, dee genee ee Zertifikat akzeptéiere soll, an et ass och fatal fir e Client, deem säin Truststore de neie Virsteller ni krut.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Déi zweet Linn äntwert op eng aner Fro, ob de Schlësselpaar iwwerlieft huet. Eng Erneierung, déi de Schlëssel erëm benotzt, behält dee Wäert a änert nëmmen d’Zertifikat, an dat ass genee de Fall, wou en Administrateur versuergt ass ze mengen, et hätt sech näischt geännert. Préift d’Zertifikat, dat ausgerullt ass, an net dat um Build-Host. Eng Datei an engem Repository ze vergläichen beweist, wat generéiert gouf, net wat e Listener grad presentéiert.

Liest, wat de Client fixéiert

E puer Cliente halen en Empreinte an hirem Profil a vergläichen en bei all Verbindung. Aner späicheren en an engem Plattform-Truststore, an nach aner verloossen sech just op eng CA. D’Reparatur ass an all Fall anescht, dofir identifizéiert fir d’éischt de Mechanismus.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Deen éischten Uerder weist eng Fixéierung an engem konventionelle Profil; deen zweete weist den Empreinte, deen den Endpunkt grad wierklech zerwéiert. Wann déi zwee sech ënnerscheeden, hutt Dir de Feeler fonnt, ouni ze roden. Füügt den neie Wäert net an all Client an, dee sech beschwéiert. E Client, deen aus Virsteller-Grënn refuséiert, wäert weider refuséieren, an Dir hutt Iech selwer bäibruecht, den Empreinte wier de Problem gewiescht, wéi en et net war.

Vergläicht d’Zertifikat, dat all Backend zerwéiert

Ongläichméisseg Resultater heeschen normalerweis méi wéi een Endpunkt, an eng Erneierung, déi op engem Node ugewannt gouf, léisst déi aner den ale Objet presentéieren. Vergläicht all Backend no der Adress an net nom gemeinsamen Numm.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

E Pool, an deem een Node hannendran ass, erkläert e Client, dee sech beim zweete Versuch verbënnt an beim éischten duerchfält. Et erkläert och eng Monitoring-Préifung, déi duerchgeet, während d’Benotzer sech beschwéieren. Fléckt fir d’éischt de Réckstand. D’Vertrauens-Konfiguratioun ze rollen, ier all Node dat neit Zertifikat zerwéiert, schaaft eng Fënster, wou näischt funktionéiert, an se duerno ze rollen, léisst d’Cliente onviraussobar duerchfalen.

Ännert d’Vertrauen iwwer de geréierten Wee

Bestätegt d’Ersetzung iwwer en scho vertrauten administrativen Kanal, ier Dir se iergendwou akzeptéiert. En plausiblen Ofleefdatum ass keng Beweis vun Eegentum. Aktualiséiert déi geréiert Konfiguratioun duerch de Prozess, deen se besëtzt, mat all geplangter Iwwerlaapung vun akzeptablen Identitéiten, a behält d’Nummverifikatioun, déi d’Deployment verlangt. Eng Fixéierung ouni Nummpréifung ass eng méi schwaach Design wéi d’CA-Vertrauen, dat se ersat huet.

Verifizéiert duerno pro Client, verbënnt Iech, bestätegt d’Identitéit, déi hien akzeptéiert huet, a notéiert d’Zertifikats-Versioun, déi hien elo vertraut. Eng Warnung, déi ee Kéier ofgewisen gouf, kënnt gär bei der nächster Erneierung zréck.