Грешка во веб-сертификатот на Access Server: празен CA пакет

Празна вредност ca_bundle или оштетен PEM го запира административниот интерфејс. Проверете сертификат, клуч и синџир како еден сет пред рестартирање и не допирајте го VPN PKI.

Страница за веб-најава што не се вчитува додека DNS се решава правилно обично не е DNS проблем. Ако дневникот на услугата спомнува празна патека на пакетот сертификати или неуспех при PEM парсирање на веб-сертификатот и приватниот клуч, HTTPS слушачот нема употреблив материјал и решавањето имиња нема да помогне. Поправката е во три конфигурациски клуча и не бара повторно издавање на ниту еден VPN клиентски сертификат.

На што всушност покажуваат трите клуча

Прилагодениот сет веб-сертификати се опишува со cs.cert, cs.priv_key и cs.ca_bundle. Секој чува патека до датотека, а веб-услугата ги користи сите три заедно. Сертификат со погрешен клуч или датотека на синџир што е всушност лист-сертификат, паѓа како празна вредност.

Овие клучеви им припаѓаат на Admin и Client веб-интерфејсот. Тие се одделени од PKI што издава сертификати на VPN клиентите, па замената не бара допирање на профили, серверски клуч или сертификациско тело. Повторно градење на целиот PKI е најскапата грешка овде.

Една разлика штеди време: експлицитно празна прилагодена вредност не е иста состојба како отсуство на препишување. Првата му дава празна патека на парсерот, тоа го вели линијата во дневникот. Втората го остава Access Server на сопствениот материјал.

Зошто постоечката датотека сепак не се парсира

Парсерот ги чита означените блокови во датотеката, не името на датотеката. .crt со приватен клуч, синџир напишан како еден блок или датотека со отсечена последна линија се отфрлаат. RFC 7468 ги дефинира тие ознаки зашто тие се единственото што кажува каков објект следи.

Прегледајте ги објектите, не наставките. На Linux домаќин openssl x509 -noout -subject -issuer -in server.pem и openssl pkey -noout -check -in key.pem одговараат на две важни прашања, а споредбата на модулот или јавниот клуч докажува дека припаѓаат заедно. Чувајте го излезот од приватниот клуч надвор од тикети и чат-дневници.

Празната патека заслужува исто сомневање како оштетена датотека, бидејќи двете даваат нејасни следни грешки. Ако дневникот вели дека патеката на пакетот е празна, прочитајте ја зачуваната вредност пред да ја дебагирате датотеката.

Намерно вратете се на резервниот избор

CLI на Access Server има проверка што прима три патеки како аргументи и известува дали сетот е употреблив. Патеките подолу се примери; заменете ги со заштитените места на домаќинот.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Прочитајте го резултатот пред да ја допрете услугата што работи, потоа увезете ги вредностите и примените ги со документираната операција за инсталираната верзија. официјалниот CLI туторијал покрива проверка, увоз и чекор на примена, а неговата верзија е поважна од секое резиме.

Проверете го името што корисниците навистина го внесуваат

Кога прилагодениот материјал е расипан, а валидна вградена резерва сѐ уште постои, документираното враќање е да се отстранат трите препишувања и Access Server да ја користи резервата. Прво обезбедете конзолен пристап и копија од тековната конфигурација.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Бришењето на целата конфигурациска база не е поправка на сертификат. Целете ги тие три клуча, примените и потврдете дека веб-интерфејсот одговара. Самопотпишаните датотеки во web-ssl се резервен ресурс, не работен простор.

Очекувајте браузерот да прикаже друг сертификат откако резервата ќе стапи на сила. Тоа е правилниот исход; проверете го преку вашиот доверлив административен процес.

Враќањето завршува само по успешна најава

Враќањето не е завршено кога ќе се појави TCP слушач. Проверете го DNS името, идентитетот на сертификатот и синџирот за тоа име, потоа вчитајте ги Admin и Client интерфејсите и завршете најава. Проверката на порта не докажува ништо од тоа.

Access Server 3.1 и поновите можат да служат различни веб-сертификати по SNI име на домаќин. Ако тоа е конфигурирано, стандардните клучеви и записите за одредено име се одделни сетови, а тестирањето по IP адреса може да покаже друг сертификат. Поправете и проверете го сетот за името што паднало и повторете го тестот за најава.

Поврзани статии