SoftEther ServerCertSet: déi erneiert Kette mat vpncmd importéieren

Certbot mellen eng erfollegräich Erneierung, d'Dateien op der Plack droen nei Datumen, an d'Cliente begéinen nach ëmmer der aler Identitéit. SoftEther hält säin SSL-Serverzertifikat a senger eegener Konfiguratioun op Server-Niveau, dofir ännert eng nei Datei op der Plack näischt, bis d'Blat an säi Schlëssel importéiert sinn. Déi folgend Reiefolleg deckt een manuellen Import, eng Ëmhüllung déi no all Erneierung leeft, an eng Kontroll déi liest wat de Listener tatsächlech presentéiert. All Schrëtt hannerléisst Beweiser déi Dir no der nächster Erneierung vergläiche kënnt.

Eng erneiert Datei ännert d'Identitéit vum Server net

Ausstellung an Deploy si getrennte Evenementer mat getrennte Fehlermodusen. Den ACME-Client schreift Dateien an en Lineage-Verzeechnis a registréiert Erfolleg; SoftEther benotzt weider dat Zertifikat, dat lescht a seng Konfiguratioun geluede gouf. En Exit-Status vun null beschreift dofir d'Dateien, net de Service, an déi zwee kënnen ënnerschiddlech sinn sou laang kee kuckt. Betruecht den Import als Deploy-Schrëtt an d'Erneierung als säin Input.

Dësen Ënnerscheed erkläert och de verwirrende Halleffeeler: dat aalt Zertifikat schafft weider bis et ofleeft, dofir gesäit am Ufank näischt futti aus. Wann et ofleeft, feele all Cliente gläichzäiteg, wat wéi en Ausfall ausgesäit an net wéi en Deploy-Schrëtt deen vergiess gouf. D'presentéiert Identitéit no all Erneierung ze kontrolléieren verwandelt déi Iwwerraschung an eng Routin-Observatioun.

Wielt d'Challeng déi zum Listener passt

D'Zertifikat muss den Host nennen, deen d'Cliente verifizéieren, dofir benotzt den ëffentlechen DNS-Numm an net en internen Label oder eng Adress. HTTP-01 verlaangt datt d'Challeng ee Moment laang op Port 80 beäntwert gëtt, wat en temporäre Listener ass an ni e Grond fir dem SoftEther säin eegene Port ze verréckelen. DNS-01 beweist d'Kontroll iwwer en Record an brauch iwwerhaapt keen eingehend HTTP.

Ënnerwaachungslos Erneierung bedeit eng automatiséiert DNS-Integratioun mat Umeldungsdaten déi op déi eng Zon limitéiert sinn, net en TXT-Record dee vun Hand all zwee Méint getippt gëtt. E Wildcard ännert den Typ vun der Challeng, net d'Noutwendegkeet vun där Automatisatioun. Entscheet dat ier dat éischt Zertifikat existéiert, well den Typ vun der Challeng méi spéit ze wiesselen heescht d'Client-Konfiguratioun an d'Firewall zesummen unzefassen.

Halt d'Artefakten an der Rei soulaang Dir hei sidd. D'Blat an d'Zwëschenzertifikater kommen als getrennt Dateien an als eng kombinéiert Kette-Datei, de private Schlëssel ass nees separat, an den Import brauch d'Kette mat hirem passenden Schlëssel an net en ëffentlecht Zertifikat eleng.

Importéiert d'Kette op Server-Niveau

Maacht eng Sécherungskopie vun der Serverkonfiguratioun a bestätegt datt Dir nach ëmmer d'Verwaltungsinterface erreecht ier Dir d'Zertifikat ufässt. Verbënnt Iech als Serveradministrator an net als Virtual Hub-Administrator, well d'Zertifikat zum Server-Objekt gehéiert. Luet dann d'Kette an de Schlëssel iwwer en absolute Pad, aus Dateien déi de Kont deen de Befehl ausféiert liese kann. Notéiert datt d'Pade absolut sinn, well de Befehl se aus dem Aarbechtsverzeechnis vum Prozess opléisst, deen vpncmd ausgefouert huet:

ServerCertSet /LOADCERT:/etc/letsencrypt/live/vpn.example.com/fullchain.pem /LOADKEY:/etc/letsencrypt/live/vpn.example.com/privkey.pem

Liest d'Ausgab vum Befehl amplaz Erfolleg unzehuelen, a liest duerno d'Kette zréck amplaz der Datei ze vertrauen déi Dir iwwerginn hutt. D'Grenz tëscht Builden déi e ganze PEM-Bundle importéieren an deenen déi nëmmen dat éischt Zertifikat huelen ass net op enger Plaz dokumentéiert, dofir ass et d'Kontroll déi et fir de Build virun Iech entscheet. Zielt d'Zertifikater déi de Listener presentéiert; e Blat ouni Zwëschenzertifikater ass d'Signatur vun engem Importeur deen nëmmen den éischte Block verbraucht huet.

Halt de importéierte Schlëssel nëmme fir de Kont liesbar deen de Server ausféiert, an halt d'Verwaltungspasswuert aus der Shell-Historie eraus. Bei dësem éischten Import tippt d'Passwuert um Prompt an, amplaz et als Befehlargument ze iwwerginn. Déi zwou Gewunnechten kaschten näischt a entfernen dee heefegste Wee op deem en Zertifikat-Deploy eppes verroden deen et sollt schützen. Maacht dat virum éischten Import, net duerno.

Hängt den Deploy un, net d'Erneierung

Soubal den manuellen Import funktionéiert, setzt genau déi Schrëtt an eng kleng Ëmhüllung a rufft se aus dem ACME-Client no enger erfollegräicher Erneierung op. Certbot setzt RENEWED_LINEAGE an RENEWED_DOMAINS fir den Hook, dofir kann d'Ëmhüllung op engem Apparat dee verschidde geréiert op ee Zertifikat wierken. Filtert no der Lineage amplaz op all Erneierung um Host ze reagéieren. D'Ëmhüllung ass Deploy-Code dee mat de Privilegien vum Server leeft, dofir revidéiert se wéi all anert Skript op där Plaz.

certbot renew --deploy-hook /usr/local/sbin/softether-deploy.sh

En Hook deen ouni Iwwerwaachung leeft brauch säin eegene geschützte Speicher fir Umeldungsdaten an en Feelsignal dat en Mënsch erreecht. Wann d'Ausstellung geléngt an den Import feelt, probéiert den Import nach eng Kéier amplaz en anert Zertifikat unzefroen, well eng zweet Ufro den Deploy-Defekt hannert enger neier Datei verstoppt. D'Certbot-Dokumentatioun zur Erneierung seet kloer datt en Laf deen näischt aktualiséiert en normale Resultat ass, dofir ass et den Hook deen déi zwee ënnerscheet.

Vergläicht déi presentéiert Kette mat der Datei

Liest de Listener, net d'Plack. Verbënnt Iech mam client-orientéierte Port mam Servernumm deen d'Cliente benotzen, a vergläicht duerno de Fangerofdrock an d'Kette déi geliwwert gouf mat der Lineage déi den Hook installéiert huet. Zwee Befehler decken dat of, an den éischten weist och ob Zwëschenzertifikater iwwerhaapt ukommen:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | grep -c 'BEGIN CERTIFICATE'
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -fingerprint -sha256

Maacht duerno eng nei Clientverbindung, well Sessiounen déi virum Import opgebaut goufen goufe géint déi vireg Identitéit authentifizéiert a beweisen näischt iwwer déi nei. Wann d'Cliente vum aalt Blat festhalen, brauche se eng koordinéiert Aktualiséierung och wann d'ëffentlech Kette valabel ass, an déi Aufgab gehéiert an dee selwechte Runbook wéi d'Erneierung. En Ëmgekéierte Proxy virum Service kann en gutt Zertifikat presentéieren während de VPN-Listener nach dat aalt hält, an dofir muss d'Kontroll de Port nennen deen d'Cliente wierklech erreechen. Notéiert de Fangerofdrock nieft dem Erneierungsdatum, sou datt de nächste Verglach eng Kontroll ass an net en Akt vum Gedächtnis.