Atjaunots VPN sertifikāts: daži klienti to joprojām noraida

Puse vides pēc atjaunošanas atkal izveido savienojumu, un trīs ierīces atsakās, katra ar brīdinājumu par vārtejas identitāti. Pati atjaunošana ir ikdienišķa. Tas, ko šīs trīs ierīces tur, ir piespraude pie vecā objekta, un piespraude nav CA saraksts, nosaukuma pārbaude vai uzticēšanās krātuves ieraksts. Salīdziniet trīs mehānismus, pirms aiztiekat jebkuru klientu.

Viena atjaunošana, divas uzvedības

Klientiem, kas atkārtoti pieslēdzas, uzticēšanās lēmums joprojām iztur, bet tiem, kas atsakās, ir prasība, ko jaunais sertifikāts neizpilda. Šī atšķirība ir informācija, nevis troksnis. Precīzi izlasiet neveiksmīgā klienta ziņojumu. Nosaukuma neatbilstība, nezināms izdevējs un mainīts nospiedums ir trīs dažādi spriedumi, un tikai pēdējais norāda uz piespraudi.

Pārbaudiet arī, kuru profilu izvēlējās neveiksmīgais klients. Importēta kopija, kas dzīvo savā krātuvē, nemainās, kad administrators labo oriģinālo failu citur.

Atjaunošana aizstāj objektu, ne tikai datumu

Nospiedums identificē kodēto sertifikāta saturu. Atjaunošana rada jaunu sertifikātu, tāpēc nospiedums mainās arī tad, ja subjekta nosaukums un publiskā atslēga paliek identiski. Tas ir gaidīts un nekaitīgs klientiem, kas uzticas CA un pārbauda nosaukumu. Tas ir liktenīgs klientam, kas konfigurēts pieņemt tieši vienu sertifikātu, un tas ir liktenīgs arī klientam, kura uzticēšanās krātuve nekad nav saņēmusi jauno izdevēju.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Otrā rinda atbild uz citu jautājumu, vai atslēgu pāris izdzīvoja. Atjaunošana, kas atkārtoti izmanto atslēgu, saglabā šo vērtību un maina tikai sertifikātu, un tieši tad administratoram rodas kārdinājums pieņemt, ka nekas nav mainījies. Pārbaudiet izvietoto sertifikātu, ne to, kas ir būvēšanas serverī. Faila salīdzināšana repozitorijā pierāda, kas tika ģenerēts, nevis to, ko klausītājs pašlaik uzrāda.

Izlasiet, ko klients piesprauž

Daži klienti glabā nospiedumu savā profilā un salīdzina to pie katra savienojuma. Citi to glabā platformas uzticēšanās krātuvē, un vēl citi paļaujas tikai uz CA. Labojums katrā gadījumā atšķiras, tāpēc vispirms nosakiet mehānismu.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Pirmā komanda parāda piespraudi parastā profilā; otrā parāda nospiedumu, ko galapunkts tiešām apkalpo tagad. Kad šie divi atšķiras, jūs esat atraduši kļūmi, neuzminot. Neielīmējiet jauno vērtību katrā klientā, kas sūdzas. Klients, kas atsakās izdevēja dēļ, turpinās atteikties, un jūs būsiet pārliecinājis sevi, ka problēma bija nospiedums, kad tā nebija.

Salīdziniet sertifikātu, ko apkalpo katrs backend

Neregulāri rezultāti parasti nozīmē vairāk nekā vienu galapunktu, un atjaunošana, kas piemērota vienam mezglam, atstāj pārējos uzrādām veco objektu. Salīdziniet katru backend pēc adreses, nevis pēc kopīgā nosaukuma.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Kopa, kurā viens mezgls atpaliek, izskaidro klientu, kas pieslēdzas otrajā mēģinājumā un neizdodas pirmajā. Tas izskaidro arī monitoringa pārbaudi, kas iztur, kamēr lietotāji sūdzas. Vispirms izlabojiet atpalicību. Uzticēšanās konfigurācijas ritināšana pirms tam, kad katrs mezgls apkalpo jauno sertifikātu, rada logu, kurā nekas nestrādā, un ritināšana pēc tam atstāj klientus neprognozējami neveiksmīgus.

Mainiet uzticēšanos pārvaldītajā ceļā

Apstipriniet aizstāšanu jau uzticamā administratīvā kanālā, pirms to kaut kur pieņemat. Ticams derīguma termiņš nav īpašumtiesību pierādījums. Atjauniniet pārvaldīto konfigurāciju ar procesu, kam tā pieder, ar jebkuru plānotu pieņemamu identitāšu pārklāšanos, un saglabājiet izvietošanas prasīto nosaukuma pārbaudi. Piespraude bez nosaukuma pārbaudes ir vājāks risinājums nekā CA uzticēšanās, ko tā aizstāja.

Pēc tam pārbaudiet katru klientu, pievienojieties, apstipriniet pieņemto identitāti un pierakstiet sertifikāta versiju, kurai tas tagad uzticas. Vienreiz noraidīts brīdinājums mēdz atgriezties nākamajā atjaunošanā.