Обновен VPN сертификат: некои клиенти уште го одбиваат

По обновувањето половина од околината повторно се поврзува, а три уреди одбиваат, секој со предупредување за идентитетот на портата. Самото обновување е рутинско. Она што го држат тие три уреди е прикачување на стариот објект, и прикачувањето не е CA список, проверка на име или запис во доверливото складиште. Споредете ги трите механизми пред да допрете кој било клиент.

Едно обновување, две однесувања

Клиентите што повторно се поврзуваат имаат одлука за доверба што уште поминува, а оние што одбиваат имаат барање што новиот сертификат не го задоволува. Таа разлика е информација, а не шум. Прочитајте ја прецизно пораката на клиентот што не успева. Несовпаѓање на името, непознат издавач и променет отпечаток се три различни пресуди, и само последната укажува на прикачување.

Проверете и кој профил го избрал клиентот што не успева. Увезено копие што живее во сопственото складиште не се менува кога администраторот ја уредува оригиналната датотека на друго место.

Обновувањето го заменува објектот, не само датумот

Отпечатокот го идентификува кодираната содржина на сертификатот. Обновувањето создава нов сертификат, па отпечатокот се менува дури и кога името на субјектот и јавниот клуч остануваат исти. Тоа е очекувано и безопасно за клиентите што и веруваат на CA и го проверуваат името. Тоа е фатално за клиент конфигуриран да прифати точно еден сертификат, и исто така е фатално за клиент чие складиште за доверба никогаш не го добило новиот издавач.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Вториот ред одговара на друго прашање, дали парот клучеви преживеал. Обновувањето што го користи клучот повторно ја задржува таа вредност и го менува само сертификатот, и тоа е точно случајот кога администраторот е во искушение да претпостави дека ништо не се сменило. Проверете го сертификатот што е распореден, а не оној на хостот за градење. Споредбата на датотека во складиште докажува што е генерирано, а не што слушателот во моментов прикажува.

Прочитајте што прикачува клиентот

Некои клиенти држат отпечаток во својот профил и го споредуваат при секое поврзување. Други го чуваат во платформското складиште за доверба, а трети се потпираат само на CA. Поправката се разликува во секој случај, затоа прво утврдете го механизмот.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Првата команда покажува прикачување во вообичаен профил; втората го покажува отпечатокот што крајната точка навистина го служи во моментов. Кога тие две се разликуваат, сте го лоцирале дефектот без погодување. Не лепете ја новата вредност во секој клиент што се жали. Клиент што одбива поради издавачот ќе продолжи да одбива, а вие ќе сте се убедиле себеси дека отпечатокот бил проблемот кога не бил.

Споредете го сертификатот што го служи секој backend

Повремените резултати обично значат повеќе од една крајна точка, а обновувањето применето на еден јазол ги остава другите да го прикажуваат стариот објект. Споредете го секој backend по адреса, а не по заедничкото име.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Базен во кој еден јазол заостанува објаснува клиент што се поврзува во вториот обид и не успева во првиот. Тоа објаснува и проверка за надзор што поминува додека корисниците се жалат. Прво поправете го заостанувањето. Вртењето на конфигурацијата за доверба пред секој јазол да го служи новиот сертификат создава прозорец во кој ништо не работи, а вртењето потоа ги остава клиентите да не успеваат непредвидливо.

Сменете ја довербата по управуваниот пат

Потврдете ја замената преку веќе доверлив административен канал пред да ја прифатите каде било. Веродостоен датум на истекување не е доказ за сопственост. Ажурирајте ја управуваната конфигурација преку процесот што ја поседува, со секое планирано преклопување на прифатливи идентитети, и задржете ја проверката на името што распоредувањето ја бара. Прикачување без проверка на име е послаб дизајн од довербата во CA што ја замени.

Потоа проверете по клиент, поврзете се, потврдете го идентитетот што го прифатил и забележете ја верзијата на сертификатот во која сега верува. Предупредување отфрлено еднаш има навика да се врати при следното обновување.