Access Server tīmekļa sertifikāta kļūda: tukšs CA komplekts

Tukša ca_bundle vērtība vai bojāts PEM aptur administrēšanas saskarni. Pirms pārstartēšanas pārbaudiet sertifikātu, atslēgu un ķēdi kā vienu kopu un neaiztieciet VPN PKI.

Pieteikšanās lapa, kas neielādējas, lai gan DNS tiek atrisināts pareizi, parasti nav DNS problēma. Ja pakalpojuma žurnālā minēts tukšs sertifikātu komplekta ceļš vai PEM parsēšanas kļūda, HTTPS klausītājam nav izmantojama materiāla un vārdu atrisināšana nepalīdzēs. Labojums ir trīs konfigurācijas atslēgās, un tas neprasa atkārtoti izsniegt nevienu VPN klienta sertifikātu.

Uz ko īsti norāda trīs atslēgas

Pielāgoto tīmekļa sertifikātu kopa tiek aprakstīta ar cs.cert, cs.priv_key un cs.ca_bundle. Katra glabā ceļu uz datni, un tīmekļa pakalpojums izmanto visas trīs kopā. Sertifikāts ar nepareizu atslēgu vai ķēdes datne, kas patiesībā ir lapas sertifikāts, neizdodas tāpat kā tukša vērtība.

Šīs atslēgas pieder Admin un Client tīmekļa saskarnei. Tās ir atdalītas no PKI, kas izsniedz sertifikātus VPN klientiem, tāpēc aizstāšana neprasa skart profilus, servera atslēgu vai sertifikātu iestādi. Visas PKI pārbūve šeit ir visdārgākā kļūda.

Viena atšķirība ietaupa laiku: nepārprotami tukša pielāgotā vērtība nav tas pats stāvoklis kā pilnīga pārrakstījuma neesamība. Pirmā parserim dod tukšu ceļu, to saka žurnāla rinda. Otrā atstāj Access Server uz sava materiāla.

Kāpēc esošā datne tomēr netiek parsēta

Parsētājs lasa datnes iekšienē esošos marķētos blokus, nevis datnes nosaukumu. .crt ar privāto atslēgu, ķēde, kas ierakstīta kā viens bloks, vai datne ar nogrieztu pēdējo rindu tiek noraidīta. RFC 7468 definē šos marķējumus tāpēc, ka tie vienīgie pasaka, kāds objekts sekos.

Pārbaudiet objektus, nevis paplašinājumus. Linux saimniekā openssl x509 -noout -subject -issuer -in server.pem un openssl pkey -noout -check -in key.pem atbild uz diviem svarīgiem jautājumiem, un moduļa vai publiskās atslēgas salīdzinājums pierāda, ka tie pieder kopā. Turiet privātās atslēgas izvadi prom no biļetēm un tērzēšanas žurnāliem.

Tukšs ceļš ir tikpat aizdomīgs kā bojāta datne, jo abi dod neskaidras turpmākās kļūdas. Ja žurnāls saka, ka komplekta ceļš ir tukšs, izlasiet saglabāto vērtību pirms datnes atkļūdošanas.

Apzināti atgriezties pie rezerves

Access Server CLI ir pārbaude, kas ņem trīs ceļus kā argumentus un ziņo, vai kopa ir izmantojama. Zemāk minētie ceļi ir piemēri; aizstājiet tos ar aizsargātajām vietām saimniekā.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Izlasiet rezultātu pirms pieskaraties strādājošajam pakalpojumam, tad importējiet vērtības un piemērojiet tās ar dokumentēto darbību instalētajai versijai. oficiālā CLI apmācība aptver pārbaudi, importu un piemērošanas soli, un tās versija ir svarīgāka par jebkuru kopsavilkumu.

Pārbaudiet vārdu, ko lietotāji tiešām ieraksta

Kad pielāgotais materiāls ir salauzts un vēl pastāv derīga iebūvēta rezerve, dokumentētā atjaunošana ir noņemt trīs pārrakstījumus un ļaut Access Server izmantot šo rezervi. Vispirms nodrošiniet konsoles piekļuvi un pašreizējās konfigurācijas kopiju.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Visas konfigurācijas datubāzes dzēšana nav sertifikāta labojums. Mērķējiet uz šīm trim atslēgām, piemērojiet un apstipriniet, ka tīmekļa saskarne atbild. web-ssl direktorijas pašparakstītās datnes ir rezerves resurss, nevis darba vieta.

Gaidiet, ka pārlūks rādīs citu sertifikātu pēc rezerves iedarbības. Tas ir pareizais iznākums; pārbaudiet to savā uzticamajā administrēšanas procesā.

Atjaunošana beidzas tikai pēc veiksmīgas pieteikšanās

Atjaunošana nav pabeigta, kad parādās TCP klausītājs. Pārbaudiet DNS vārdu, sertifikāta identitāti un tā vārda ķēdi, tad ielādējiet Admin un Client saskarnes un pabeidziet pieteikšanos. Porta pārbaude to nepierāda.

Access Server 3.1 un jaunākas versijas var apkalpot atšķirīgus tīmekļa sertifikātus katram SNI saimnieka vārdam. Ja tas ir konfigurēts, noklusējuma atslēgas un vārdam raksturīgie ieraksti ir atsevišķas kopas, un pārbaude pēc IP var parādīt citu sertifikātu. Izlabojiet un pārbaudiet neveiksmīgā vārda kopu un atkārtojiet pieteikšanās testu.

Saistītie raksti