Шинэчлэгдсэн VPN сертификат: зарим клиент үүнийг хүлээн зөвшөөрөхгүй байна

Шинэчлэлийн дараа орчны тал хувь дахин холбогдож, гурван төхөөрөмж татгалзаж, тус бүр гарцын таних тэмдгийн тухай анхааруулга гаргана. Шинэчлэл өөрөө ердийн ажил. Тэр гурван төхөөрөмжид хуучин объект руу бэхэлгээ байгаа бөгөөд бэхэлгээ нь CA-ийн жагсаалт ч, нэрийн шалгалт ч, итгэлцлийн сангийн бичлэг ч биш. Аль ч клиентэд хүрэхээс өмнө гурван механизмыг харьцуул.

Нэг шинэчлэл, хоёр зан төлөв

Дахин холбогдож буй клиентүүдэд итгэлцлийн шийдвэр одоо ч давж байгаа бол татгалзаж буй клиентүүдэд шинэ сертификат хангахгүй шаардлага байна. Энэ ялгаа бол мэдээлэл, дуу чимээ биш. Бүтэлгүйтсэн клиентийн мессежийг яг таг унш. Нэрийн зөрүү, үл мэдэгдэх олгогч, өөрчлөгдсөн хээ бол гурван өөр шийдвэр бөгөөд зөвхөн сүүлийнх нь бэхэлгээг заана.

Бүтэлгүйтсэн клиент ямар профайл сонгосныг ч шалга. Өөрийн санд амьдардаг импортолсон хуулбар нь администратор эх файлыг өөр газар засахад өөрчлөгдөхгүй.

Шинэчлэл зөвхөн огноо биш, объектыг солино

Хээ нь кодлогдсон сертификатын агуулгыг тодорхойлно. Шинэчлэл шинэ сертификат үүсгэдэг тул субъектийн нэр, нийтийн түлхүүр ижил байсан ч хээ өөрчлөгдөнө. Энэ нь CA-д итгэж, нэрийг шалгадаг клиентүүдэд хүлээгдэж буй бөгөөд хор хөнөөлгүй. Яг нэг сертификат хүлээн авахаар тохируулсан клиентэд энэ нь үхлийн аюултай бөгөөд итгэлцлийн сан нь шинэ олгогчийг хэзээ ч аваагүй клиентэд ч үхлийн аюултай.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Хоёр дахь мөр өөр асуултад хариулна, түлхүүрийн хос амьд үлдсэн эсэх. Түлхүүрийг дахин ашигладаг шинэчлэл тэр утгыг хадгалж, зөвхөн сертификатыг өөрчилдөг бөгөөд администратор юу ч өөрчлөгдөөгүй гэж бодохыг хүсдэг яг тэр тохиолдол энэ. Байршуулсан сертификатыг шалга, бүтээх хост дээрхыг биш. Репозитор дахь файлыг харьцуулах нь юу үүсгэснийг нотолдог, сонсогч яг одоо юу танилцуулж байгааг биш.

Клиент юу бэхэлж байгааг унш

Зарим клиент профайлдаа хээ хадгалж, холбогдох бүрт харьцуулдаг. Бусад нь платформын итгэлцлийн санд хадгалдаг, дахин зарим нь зөвхөн CA-д найрдаг. Засвар тохиолдол бүрт өөр тул эхлээд механизмыг тодорхойл.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Эхний команд энгийн профайл дахь бэхэлгээг харуулна; хоёр дахь нь эцсийн цэг яг одоо үнэхээр үйлчилж буй хээг харуулна. Эдгээр хоёр ялгаатай бол та таамаглахгүйгээр эвдрэлийг олсон. Шинэ утгыг гомдоллож буй клиент бүрт нааж болохгүй. Олгогчийн улмаас татгалзаж буй клиент үргэлжлүүлэн татгалзаж, асуудал хээнд байгаагүй ч байсан гэж өөртөө сургана.

Бэкэнд бүрийн үйлчилж буй сертификатыг харьцуул

Тасархай үр дүн нь ихэвчлэн нэгээс олон эцсийн цэгийг илэрхийлдэг бөгөөд нэг зангилаанд хэрэглэсэн шинэчлэл бусад нь хуучин объектыг танилцуулахыг үлдээдэг. Бэкэнд бүрийг нийтлэг нэрээр биш, хаягаар харьцуул.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Нэг зангилаа хоцорсон пул нь хоёр дахь оролдлогоор холбогдож, эхнийхээр бүтэлгүйтдэг клиентийг тайлбарлана. Хэрэглэгчид гомдоллож байх үед давж гардаг хяналтын шалгалтыг ч тайлбарлана. Эхлээд хоцролтыг зас. Зангилаа бүр шинэ сертификатыг үйлчилж эхлэхээс өмнө итгэлцлийн тохиргоог эргүүлэх нь юу ч ажиллахгүй цонх үүсгэдэг бөгөөд дараа нь эргүүлэх нь клиентүүдийг урьдчилан таамаглах боломжгүйгээр бүтэлгүйтэхэд үлдээдэг.

Итгэлцлийг удирдлагын замаар өөрчил

Хаана ч хүлээн авахаас өмнө аль хэдийн итгэмжтэй административ сувгаар солилтыг баталгаажуул. Үнэмшилтэй хугацаа дуусах огноо нь өмчлөлийн баталгаа биш. Удирдлагын тохиргоог түүнийг эзэмшиж буй процесст дамжуулан шинэчил, хүлээн зөвшөөрөх боломжтой таних тэмдгүүдийн төлөвлөсөн давхцалтай, байршуулалтын шаарддаг нэрийн шалгалтыг хадгал. Нэрийн шалгалтгүй бэхэлгээ нь түүнийг орлуулсан CA-ийн итгэлээс сул загвар.

Дараа нь клиент бүрээр шалга, холбогд, түүний хүлээн авсан таних тэмдгийг баталгаажуул, одоо итгэж буй сертификатын хувилбарыг тэмдэглэ. Нэг удаа татгалзсан анхааруулга дараагийн шинэчлэлд эргэн ирэх зуршилтай.