Access Server žiniatinklio sertifikato klaida: tuščias CA paketas

Tuščia ca_bundle reikšmė arba sugadintas PEM sustabdo administravimo sąsają. Patikrinkite sertifikatą, raktą ir grandinę kaip vieną rinkinį prieš perkraunant ir nelieskite VPN PKI.

Prisijungimo puslapis, kuris nesikrauna, nors DNS sprendžiamas teisingai, paprastai nėra DNS problema. Jei tarnybos žurnale minima tuščia sertifikatų paketo kelias arba PEM analizės klaida, HTTPS klausytojas neturi tinkamos medžiagos ir vardų sprendimas nepadės. Taisymas yra trijuose konfigūracijos raktuose ir nereikalauja iš naujo išduoti nė vieno VPN kliento sertifikato.

Į ką iš tikrųjų nurodo trys raktai

Pasirinktinis žiniatinklio sertifikatų rinkinys aprašomas cs.cert, cs.priv_key ir cs.ca_bundle. Kiekvienas saugo failo kelią, o žiniatinklio tarnyba naudoja visus tris kartu. Sertifikatas su netinkamu raktu arba grandinės failas, kuris iš tikrųjų yra lapo sertifikatas, nepavyksta kaip tuščia reikšmė.

Šie raktai priklauso Admin ir Client žiniatinklio sąsajai. Jie atskirti nuo PKI, kuri išduoda sertifikatus VPN klientams, todėl pakeitimas nereikalauja liesti profilių, serverio rakto ar sertifikatų institucijos. Visos PKI atstatymas yra brangiausia klaida čia.

Vienas skirtumas taupo laiką: aiškiai tuščia pasirinktinė reikšmė nėra ta pati būsena kaip jokio perrašymo. Pirmoji analizatoriui duoda tuščią kelią, tai sako žurnalo eilutė. Antroji palieka Access Server su savo medžiaga.

Kodėl esamas failas vis tiek neanalizuojamas

Analizatorius skaito failo viduje esančius pažymėtus blokus, o ne failo vardą. .crt su privačiu raktu, grandinė, įrašyta kaip vienas blokas, arba failas su nukirpta paskutine eilute atmetami. RFC 7468 apibrėžia tuos žymenis, nes jie vieninteliai pasako, kokio tipo objektas eina toliau.

Tikrinkite objektus, ne plėtinius. Linux serveryje openssl x509 -noout -subject -issuer -in server.pem ir openssl pkey -noout -check -in key.pem atsako į du svarbius klausimus, o modulio ar viešo rakto palyginimas įrodo, kad jie priklauso kartu. Laikykite privataus rakto išvestį atokiau nuo bilietų ir pokalbių žurnalų.

Tuščias kelias vertas tokio pat įtarumo kaip sugadintas failas, nes abu duoda neaiškias tolesnes klaidas. Jei žurnalas sako, kad paketo kelias tuščias, perskaitykite išsaugotą reikšmę prieš derindami failą.

Sąmoningai grįžkite prie atsarginio varianto

Access Server CLI turi patikrą, kuri priima tris kelius kaip argumentus ir praneša, ar rinkinys tinkamas. Žemiau esantys keliai yra pavyzdžiai; pakeiskite juos apsaugotomis vietomis serveryje.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Perskaitykite rezultatą prieš liesdami veikiančią tarnybą, tada importuokite reikšmes ir pritaikykite dokumentuota operacija, skirta įdiegtai versijai. oficiali CLI pamoka apima patikrą, importą ir taikymo žingsnį, o jos versija svarbesnė už bet kokią santrauką.

Patikrinkite vardą, kurį naudotojai tikrai įveda

Kai pasirinktinė medžiaga sugadinta ir dar yra galiojantis įtaisytas atsarginis variantas, dokumentuotas atkūrimas yra pašalinti tris perrašymus ir leisti Access Server naudoti tą variantą. Pirmiausia užtikrinkite konsolės prieigą ir dabartinės konfigūracijos kopiją.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Visos konfigūracijos bazės ištrynimas nėra sertifikato taisymas. Nukreipkite į tuos tris raktus, pritaikykite ir patvirtinkite, kad žiniatinklio sąsaja atsako. web-ssl katalogo savarankiškai pasirašyti failai yra atsarginis išteklius, ne darbo vieta.

Tikėkitės, kad naršyklė parodys kitą sertifikatą, kai atsarginis variantas įsigalios. Tai teisingas rezultatas; patikrinkite jį savo patikimu administravimo procesu.

Atkūrimas baigiamas tik po sėkmingo prisijungimo

Atkūrimas nebaigtas, kai atsiranda TCP klausytojas. Patikrinkite DNS vardą, sertifikato tapatybę ir to vardo grandinę, tada įkelkite Admin ir Client sąsajas ir užbaikite prisijungimą. Prievado patikra to neįrodo.

Access Server 3.1 ir naujesnės versijos gali aptarnauti skirtingus žiniatinklio sertifikatus pagal SNI serverio vardą. Jei tai sukonfigūruota, numatytieji raktai ir vardui būdingi įrašai yra atskiri rinkiniai, o tikrinimas pagal IP gali parodyti kitą sertifikatą. Pataisykite ir patikrinkite nepavykusio vardo rinkinį ir pakartokite prisijungimo testą.

Susiję straipsniai