Firwat d'Neiimportéiere vun engem Client VPN-Zertifikat en neien Endpunkt verlaangt

Eng Client VPN-Verbindung briecht of, d'Zertifikat an ACM gëtt ersat, an et ännert sech näischt. D'Zertifikatobjekt war ni dat, wat den Endpunkt benotzt huet. En Endpunkt späichert bei der Kreatioun eng Associatioun zu engem Zertifikat, zesumme mat der Client-CA, géint déi en validéiert, dem Authentifizéierungstyp, de Subnetzen an den Autorisatiounsregelen, an keng vun dësen Associatiounen huet en Ännerungsopruff, deen en Ersazzertifikat akzeptéiert. D'Bytes hannert engem ARN ersetzen ass eng Ännerung um Zertifikat, net um Endpunkt, deen et erfaasst huet.

Den Endpunkt späichert Referenzen, net Zertifikaten

De Mechanismus ass et wäert, genee ze formuléieren, well en de ganze Feeler erkläert. create-client-vpn-endpoint hëlt en Zertifikat-ARN vum Server an en ARN vun der Client-Root-Zertifikatskett, an den Endpunkt, deen entsteet, behält dës Referenzen zesumme mat den Authentifizéierungsoptiounen als fix Propruméiten. D'API bitt keng Operatioun un, déi d'Serverzertifikat op engem bestoenden Endpunkt austauscht.

Dir kënnt d'Bindung ouni ze roden bestätegen. aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 dréckt den Zertifikat-ARN, den ARN vun der Client-Root-Kett, den Authentifizéierungstyp, de Client-CIDR an déi associéiert Subnetzen aus, wat de komplette Set u Propruméiten ass, deen Dir misst reproduzéieren. Fuert en virun an no engem Neiimport aus, an d'Ausgab beweegt sech net. Dat ass de Beweis, datt den Neiimport ni sollt hëllefen.

Firwat en Neiimport den Endpunkt net erreeche kann

En Neiimport schreift en neie Zertifikatskierper ënner engem bestoenden ARN. Dat ass eng legitim Operatioun, wann en Zertifikat no beim Ofleef ass, an ACM akzeptéiert se, soulaang de private Schlëssel passt an d'Kett validéiert. Wat en net mécht, ass d'Validatioun aus der Kreatiounszäit vum Endpunkt nach eng Kéier auszeféieren, sou datt d'Associatioun an de Material hannendrun sou bleiwen, wéi se beim Bau vum Endpunkt waren.

Dofir liest sech d'Symptom wéi en Netzwierkfeeler. Den TLS-Handshake schléit feel oder gëtt zréckgesat, ier d'Autorisatioun iwwerhaapt evaluéiert gëtt, sou datt Sécherheetsgruppen, Routen an Autorisatiounsregele all onschëlleg ausgesinn, an dat sinn se och.

D'Kett ass en Deel vum Client-Zertifikat

Déi zweet Hallschent vum Feeler ass am Client-Zertifikat, an et ass méi einfach, se ofzedoen. En Client-Zertifikat muss mat der Kett importéiert ginn, déi et ausgestallt huet, och wann den Importformulär dat Feld als optional presentéiert. Ouni d'Kett kann den Endpunkt kee Wee vum Client-Zertifikat bis zur Client-Root-CA bauen, mat där en konfiguréiert war, an d'Verbindung endet an engem weiche Reset, deen wéi eng Firewall kléngt, déi Pakete fale léisst. openssl verify -CAfile root-ca.pem client.crt äntwert op déi Fro lokal an enger Sekonn, an et sollt déi éischt Kommando sinn, déi Dir ausféiert.

Neiimportéiere mat der Kett ass eng richteg Korrektur fir déi Hallschent, an et ass nach ëmmer net genuch fir sech eleng. Soubal d'ACM-Objekt geännert huet, ass den Endpunkt mat der aler Associatioun dat falscht, géint dat een nach weider testt. Béid Schrëtt gehéieren zu der selwechter Reparatur, dofir ass déi zweedeileg Korrektur kee Widdersproch.

En Endpunkt nei ze schafen ass eng Migratioun

En Ersatzendpunkt ze schafen ass eng Migratioun, keen neie Versuch, an en als neie Versuch ze behandelen ass de Wee, wéi Teamen mat zwee hallef konfiguréierten Endpunkten ophalen. Den neien Endpunkt kritt eng nei ID a, wann Dir et net geplangt hutt, en neien DNS-Numm fir all Benotzer. Halt de Clientprofil op en Numm an net op eng Adress weisen, sou datt den Austausch eng Rekordännerung gëtt an net eng Neiverdeelung.

D'Uerdnung, déi dat sécher hält, ass kuerz: schaf den neien Endpunkt mat dem selwechte CIDR, de selwechten Subnetzen an de selwechten Autorisatiounsregelen, exportéier en neie Profil mat aws ec2 export-client-vpn-client-configuration, a verifizéier mat engem Benotzer. Eréischt duerno gëtt den alen Endpunkt ofgebaut.

D'Ausserbetribhuele vum alen Endpunkt huet seng eege Uerdnung. Widderruff d'Client-Zertifikaten, déi Dir wollt ausser Betrib huelen, ier Dir en läscht, well en neien Endpunkt, deen der aler CA nach vertraut, weider Zertifikaten akzeptéiert, vun deenen Dir gegleeft hutt, se wieren fort. Läsch dann den alen Endpunkt a entferdéier seng Autorisatiounsregelen, sou datt e veraltete Profil sech net erëm mat engem Zilnetz verbanne kann, vun deem Dir geduecht hutt, et wier zou. Schréif d'ID vum alen Endpunkt an d'Associatiounsidentifizéierer an de Changementsrekord, well eng Migratioun, déi mat dem Gediechtnes verglach gëtt, ass de Wee, wéi en funktionéierenden Endpunkt zweemol nei gebaut gëtt.

Uerdent d'Diagnos

Trennt dräi Feeler, ier Dir irgendeng Konfiguratioun ännert. De Client kann TLS net ofschléissen, de Client schléisst TLS of an ass net autoriséiert, oder de Client verbënnt sech an erreecht keen Zil. D'Zertifikatsassociatioun gehéiert zum éischten, eng Autorisatiounsregel, déi d'Clientadress net deckt, zum zweeten, an eng Route oder eng Sécherheetsgrupp zum drëtten, wou en Endpunkt nei ze schafe bal ëmmer de falsche Schrëtt ass.

En Endpunkt, dee Méint funktionéiert huet an dann opgehal huet, ouni Zertifikats- oder Politikännerung, ass e eegene Fall. En mat identesche Parameteren nei ze bauen kann de Service restauréieren, awer dat ass e Grond, d'Konfiguratioun reproduzéierbar ze halen, keen Grond, bei all Tëschefall nei ze bauen.

Halt véier Saachen ënner Versiounskontroll, sou datt den nächste Neibau en Diff ass an net eng Improvisatioun: d'Endpunktparameteren, d'Zertifikats- an Kett-ARNen, d'Autorisatiounsregelen an de Client-CIDR. D'Dokumentatioun zur Client VPN-Authentifizéierung zielt op, wéi e Zertifikat wéi eng Roll spillt, wat ee wäert ass ze kontrolléieren, ier Dir iwwerhaapt unhëlt, et wier en Zertifikat de Problem. Wann en Neiimport näischt ännert an den Endpunkt nach ëmmer zrécksetzt, ass d'Associatioun verdächteg an d'Äntwert ass en neien Endpunkt, deen aus de festgehalene Parameteren gebaut ass. Wann den Endpunkt awer dat neit Objekt iwwerhëlt, war d'Associatioun schonn richteg an de Feeler sëtzt an der Client-Kett oder der Autorisatiounsschicht.