Client VPN സർട്ടിഫിക്കറ്റ് വീണ്ടും ഇമ്പോർട്ട് ചെയ്യാൻ പുതിയ എൻഡ്പോയിന്റ് ആവശ്യമാകുന്നത് എന്തുകൊണ്ട്

ഒരു Client VPN കണക്ഷൻ തകരുന്നു, ACM-ലെ സർട്ടിഫിക്കറ്റ് മാറ്റി സ്ഥാപിക്കപ്പെടുന്നു, ഒന്നും മാറുന്നുമില്ല. സർട്ടിഫിക്കറ്റ് ഒബ്ജക്റ്റ് എൻഡ്പോയിന്റ് ഉപയോഗിച്ചിരുന്നത് ഒരിക്കലും അല്ലായിരുന്നു. എൻഡ്പോയിന്റ് സൃഷ്ടിക്കുമ്പോൾ ഒരു സർട്ടിഫിക്കറ്റുമായി ബന്ധം സംഭരിക്കുന്നു, അതോടൊപ്പം അത് പരിശോധിക്കുന്ന ക്ലൈന്റ് CA, ഓതന്റിക്കേഷൻ തരം, സബ്നെറ്റുകൾ, അധികാരപ്പെടുത്തൽ നിയമങ്ങൾ എന്നിവയും സ്ഥിര ഗുണങ്ങളായി നിലനിർത്തുന്നു, ഈ ബന്ധങ്ങളിലൊന്നിനും പകരം സർട്ടിഫിക്കറ്റ് സ്വീകരിക്കുന്ന മാറ്റ കോളില്ല. ARN-ന് പിന്നിലുള്ള ബൈറ്റുകൾ മാറ്റുന്നത് സർട്ടിഫിക്കറ്റിലെ മാറ്റമാണ്, അത് പിടിച്ചെടുത്ത എൻഡ്പോയിന്റിലല്ല.

എൻഡ്പോയിന്റ് സർട്ടിഫിക്കറ്റുകളല്ല, റഫറൻസുകളാണ് സംഭരിക്കുന്നത്

ഈ സംവിധാനം കൃത്യമായി പറയാൻ യോഗ്യമാണ്, കാരണം അത് മുഴുവൻ പരാജയവും വിശദീകരിക്കുന്നു. create-client-vpn-endpoint സർവർ സർട്ടിഫിക്കറ്റിന്റെ ARN-ഉം ക്ലൈന്റ് റൂട്ട് സർട്ടിഫിക്കറ്റ് ചെയിനിന്റെ ARN-ഉം എടുക്കുന്നു, ഫലമായുണ്ടാകുന്ന എൻഡ്പോയിന്റ് ആ റഫറൻസുകൾ ഓതന്റിക്കേഷൻ ഓപ്ഷനുകളോടൊപ്പം സ്ഥിര ഗുണങ്ങളായി സൂക്ഷിക്കുന്നു. നിലവിലുള്ള എൻഡ്പോയിന്റിൽ സർവർ സർട്ടിഫിക്കറ്റ് മാറ്റുന്ന ഒരു ഓപ്പറേഷനും API നൽകുന്നില്ല.

ഊഹിക്കാതെ തന്നെ ബന്ധം സ്ഥിരീകരിക്കാം. aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 സർട്ടിഫിക്കറ്റിന്റെ ARN, ക്ലൈന്റ് റൂട്ട് ചെയിനിന്റെ ARN, ഓതന്റിക്കേഷൻ തരം, ക്ലൈന്റ് CIDR, ബന്ധപ്പെട്ട സബ്നെറ്റുകൾ എന്നിവ പ്രിന്റ് ചെയ്യുന്നു, ഇത് നിങ്ങൾ പുനർനിർമ്മിക്കേണ്ട ഗുണങ്ങളുടെ പൂർണ സെറ്റാണ്. വീണ്ടും ഇമ്പോർട്ടിന് മുമ്പും ശേഷവും ഇത് പ്രവർത്തിപ്പിക്കുക, ഔട്ട്പുട്ട് അനങ്ങില്ല. വീണ്ടും ഇമ്പോർട്ട് ഒരിക്കലും സഹായിക്കുമായിരുന്നില്ല എന്നതിന്റെ തെളിവാണത്.

വീണ്ടും ഇമ്പോർട്ടിന് എൻഡ്പോയിന്റിൽ എത്താൻ കഴിയാത്തത് എന്തുകൊണ്ട്

വീണ്ടും ഇമ്പോർട്ട് നിലവിലുള്ള ARN-ന് കീഴിൽ പുതിയ സർട്ടിഫിക്കറ്റ് ബോഡി എഴുതുന്നു. സർട്ടിഫിക്കറ്റ് കാലഹരണത്തോട് അടുക്കുമ്പോൾ ഇത് സാധുവായ ഓപ്പറേഷനാണ്, സ്വകാര്യ കീ യോജിക്കുകയും ചെയിൻ സാധൂകരിക്കുകയും ചെയ്താൽ ACM അത് സ്വീകരിക്കും. അത് ചെയ്യാത്തത് എൻഡ്പോയിന്റിന്റെ സൃഷ്ടി സമയത്തെ സാധൂകരണം വീണ്ടും പ്രവർത്തിപ്പിക്കുകയെന്നതാണ്, അതിനാൽ ബന്ധവും അതിന് പിന്നിലുള്ള വസ്തുവും എൻഡ്പോയിന്റ് നിർമ്മിച്ചപ്പോൾ ഉണ്ടായിരുന്നതുപോലെ തുടരുന്നു.

അതുകൊണ്ടാണ് ലക്ഷണം നെറ്റ്വർക്ക് തകരാറുപോലെ തോന്നുന്നത്. അധികാരപ്പെടുത്തൽ വിലയിരുത്തുന്നതിന് മുമ്പുതന്നെ TLS ഹാൻഡ്ഷേക്ക് പരാജയപ്പെടുകയോ റീസെറ്റ് ചെയ്യുകയോ ചെയ്യുന്നു, അതിനാൽ സെക്യൂരിറ്റി ഗ്രൂപ്പുകളും റൂട്ടുകളും അധികാരപ്പെടുത്തൽ നിയമങ്ങളും നിരപരാധികളായി തോന്നുന്നു, അവ അങ്ങനെതന്നെയാണ്.

ചെയിൻ ക്ലൈന്റ് സർട്ടിഫിക്കറ്റിന്റെ ഭാഗമാണ്

പരാജയത്തിന്റെ രണ്ടാം പകുതി ക്ലൈന്റ് സർട്ടിഫിക്കറ്റിലാണ്, അത് അവഗണിക്കാൻ എളുപ്പമാണ്. ക്ലൈന്റ് സർട്ടിഫിക്കറ്റ് അത് പുറപ്പെടുവിച്ച ചെയിനിനൊപ്പം ഇമ്പോർട്ട് ചെയ്യണം, ഇമ്പോർട്ട് ഫോം ആ ഫീൽഡ് ഓപ്ഷണലായി കാണിച്ചാലും. ചെയിൻ ഇല്ലാതെ എൻഡ്പോയിന്റിന് ക്ലൈന്റ് സർട്ടിഫിക്കറ്റിൽ നിന്ന് അത് കോൺഫിഗർ ചെയ്ത ക്ലൈന്റ് റൂട്ട് CA വരെ പാത നിർമ്മിക്കാൻ കഴിയില്ല, കണക്ഷൻ പാക്കറ്റുകൾ വീഴ്ത്തുന്ന ഫയർവാളിനെപ്പോലെ തോന്നിക്കുന്ന ഒരു സോഫ്റ്റ് റീസെറ്റിൽ അവസാനിക്കുന്നു. openssl verify -CAfile root-ca.pem client.crt ആ ചോദ്യത്തിന് ലൊക്കലായി ഒരു സെക്കൻഡിൽ ഉത്തരം നൽകുന്നു, നിങ്ങൾ പ്രവർത്തിപ്പിക്കേണ്ട ആദ്യ കമാൻഡ് അതായിരിക്കണം.

ചെയിനിനൊപ്പം വീണ്ടും ഇമ്പോർട്ട് ചെയ്യുന്നത് ആ പകുതിക്ക് യഥാർത്ഥ പരിഹാരമാണ്, എന്നിട്ടും അത് ഒറ്റയ്ക്ക് മതിയാകുന്നില്ല. ACM ഒബ്ജക്റ്റ് മാറിയതിന് ശേഷം പഴയ ബന്ധം വഹിക്കുന്ന എൻഡ്പോയിന്റ് പരിശോധന തുടരാൻ തെറ്റായ വസ്തുവാണ്. രണ്ട് ഘട്ടങ്ങളും ഒരേ അറ്റകുറ്റപ്പണിയിൽ പെടുന്നു, അതുകൊണ്ടാണ് രണ്ട് ഭാഗങ്ങളുള്ള പരിഹാരം വൈരുദ്ധ്യമാകാത്തത്.

എൻഡ്പോയിന്റ് വീണ്ടും സൃഷ്ടിക്കുന്നത് ഒരു മൈഗ്രേഷനാണ്

പകരം എൻഡ്പോയിന്റ് സൃഷ്ടിക്കുന്നത് മൈഗ്രേഷനാണ്, വീണ്ടും ശ്രമമല്ല, അതിനെ വീണ്ടും ശ്രമമായി കാണുന്നതാണ് ടീമുകൾ പകുതി കോൺഫിഗർ ചെയ്ത രണ്ട് എൻഡ്പോയിന്റുകളിൽ എത്തുന്ന വഴി. പുതിയ എൻഡ്പോയിന്റിന് പുതിയ ID ലഭിക്കുന്നു, നിങ്ങൾ ആസൂത്രണം ചെയ്തില്ലെങ്കിൽ ഓരോ ഉപയോക്താവിനും പുതിയ DNS പേര് ലഭിക്കുന്നു. ക്ലൈന്റ് പ്രൊഫൈൽ വിലാസത്തിലേക്കല്ല, പേരിലേക്ക് ചൂണ്ടാൻ വയ്ക്കുക, അങ്ങനെ മാറ്റം പുനർവിതരണമല്ല, റെക്കോർഡ് മാറ്റമാകും.

ഇത് സുരക്ഷിതമായി നിലനിർത്തുന്ന ക്രമം ചെറുതാണ്: അതേ CIDR, സബ്നെറ്റുകൾ, അധികാരപ്പെടുത്തൽ നിയമങ്ങൾ എന്നിവയോടെ പുതിയ എൻഡ്പോയിന്റ് സൃഷ്ടിക്കുക, aws ec2 export-client-vpn-client-configuration ഉപയോഗിച്ച് പുതിയ പ്രൊഫൈൽ എക്സ്പോർട്ട് ചെയ്യുക, ഒരു ഉപയോക്താവുമായി പരിശോധിക്കുക. അതിന് ശേഷം മാത്രമാണ് പഴയ എൻഡ്പോയിന്റ് ഇറങ്ങുന്നത്.

പഴയ എൻഡ്പോയിന്റ് സേവനത്തിൽ നിന്ന് ഒഴിവാക്കുന്നതിന് അതിന്റേതായ ക്രമമുണ്ട്. അത് ഇല്ലാതാക്കുന്നതിന് മുമ്പ് ഒഴിവാക്കാൻ ഉദ്ദേശിച്ച ക്ലൈന്റ് സർട്ടിഫിക്കറ്റുകൾ റദ്ദാക്കുക, കാരണം പഴയ CA-യിൽ ഇപ്പോഴും വിശ്വസിക്കുന്ന പുതിയ എൻഡ്പോയിന്റ് പോയി എന്ന് നിങ്ങൾ കരുതിയ സർട്ടിഫിക്കറ്റുകൾ സ്വീകരിച്ചുകൊണ്ടിരിക്കും. തുടർന്ന് പഴയ എൻഡ്പോയിന്റ് ഇല്ലാതാക്കി അതിന്റെ അധികാരപ്പെടുത്തൽ നിയമങ്ങൾ നീക്കം ചെയ്യുക, അങ്ങനെ പഴയ പ്രൊഫൈലിന് നിങ്ങൾ അടച്ചതായി കരുതിയ ലക്ഷ്യ നെറ്റ്വർക്കിലേക്ക് വീണ്ടും ബന്ധിപ്പിക്കാൻ കഴിയില്ല. പഴയ എൻഡ്പോയിന്റിന്റെ ID-യും ബന്ധ ഐഡന്റിഫയറുകളും മാറ്റ രേഖയിൽ എഴുതുക, കാരണം ഓർമ്മയുമായി താരതമ്യം ചെയ്യുന്ന മൈഗ്രേഷനാണ് പ്രവർത്തിക്കുന്ന എൻഡ്പോയിന്റ് രണ്ടുതവണ പുനർനിർമ്മിക്കുന്ന വഴി.

രോഗനിർണ്ണയം ക്രമീകരിക്കുക

ഏതെങ്കിലും കോൺഫിഗറേഷൻ മാറ്റുന്നതിന് മുമ്പ് മൂന്ന് പരാജയങ്ങൾ വേർതിരിക്കുക. ക്ലൈന്റിന് TLS പൂർത്തിയാക്കാൻ കഴിയില്ല, ക്ലൈന്റ് TLS പൂർത്തിയാക്കുന്നു പക്ഷേ അധികാരപ്പെടുത്തിയിട്ടില്ല, അല്ലെങ്കിൽ ക്ലൈന്റ് ബന്ധിപ്പിക്കുന്നു പക്ഷേ ലക്ഷ്യസ്ഥാനത്ത് എത്തുന്നില്ല. സർട്ടിഫിക്കറ്റ് ബന്ധം ആദ്യത്തേതിന് പെടുന്നു, ക്ലൈന്റ് വിലാസം ഉൾക്കൊള്ളാത്ത അധികാരപ്പെടുത്തൽ നിയമം രണ്ടാമത്തേതിന്, റൂട്ട് അല്ലെങ്കിൽ സെക്യൂരിറ്റി ഗ്രൂപ്പ് മൂന്നാമത്തേതിന്, അവിടെ എൻഡ്പോയിന്റ് വീണ്ടും സൃഷ്ടിക്കുന്നത് മിക്കവാറും എപ്പോഴും തെറ്റായ നീക്കമാണ്.

മാസങ്ങളോളം പ്രവർത്തിച്ച ശേഷം സർട്ടിഫിക്കറ്റോ നയമോ മാറ്റമില്ലാതെ നിലച്ച എൻഡ്പോയിന്റ് ഒരു വേറിട്ട കേസാണ്. അതേ ക്രമീകരണങ്ങളിൽ പുനർനിർമ്മിക്കുന്നത് സേവനം പുനഃസ്ഥാപിച്ചേക്കാം, പക്ഷേ അത് കോൺഫിഗറേഷൻ പുനരുൽപ്പാദനയോഗ്യമായി നിലനിർത്താനുള്ള കാരണമാണ്, ഓരോ സംഭവത്തിലും പുനർനിർമ്മിക്കാനുള്ള കാരണമല്ല.

അടുത്ത പുനർനിർമ്മാണം കൈയടക്കമല്ല, diff ആകാൻ നാല് കാര്യങ്ങൾ പതിപ്പ് നിയന്ത്രണത്തിൽ വയ്ക്കുക: എൻഡ്പോയിന്റ് പാരാമീറ്ററുകൾ, സർട്ടിഫിക്കറ്റിന്റെയും ചെയിനിന്റെയും ARN, അധികാരപ്പെടുത്തൽ നിയമങ്ങൾ, ക്ലൈന്റ് CIDR. Client VPN ഓതന്റിക്കേഷൻ ഡോക്യുമെന്റേഷൻ ഏത് സർട്ടിഫിക്കറ്റ് ഏത് പങ്ക് വഹിക്കുന്നു എന്ന് പട്ടികപ്പെടുത്തുന്നു, സർട്ടിഫിക്കറ്റാണ് പ്രശ്നമെന്ന് അനുമാനിക്കുന്നതിന് മുമ്പ് അത് പരിശോധിക്കേണ്ടതാണ്. വീണ്ടും ഇമ്പോർട്ട് ഒന്നും മാറ്റുന്നില്ലെങ്കിലും എൻഡ്പോയിന്റ് ഇപ്പോഴും റീസെറ്റ് ചെയ്യുന്നുവെങ്കിലും, സംശയിക്കേണ്ടത് ബന്ധമാണ്, ഉത്തരം രേഖപ്പെടുത്തിയ പാരാമീറ്ററുകളിൽ നിന്ന് നിർമ്മിച്ച പുതിയ എൻഡ്പോയിന്റാണ്. എൻഡ്പോയിന്റ് പുതിയ ഒബ്ജക്റ്റ് സ്വീകരിക്കുന്നുവെങ്കിൽ, ബന്ധം മുമ്പേ ശരിയായിരുന്നു, തകരാർ ക്ലൈന്റ് ചെയിനിലോ അധികാരപ്പെടുത്തൽ പാളിയിലോ ആണ്.