SoftEther ServerCertSet: шинэчлэгдсэн гинжийг vpncmd-ээр импортлох

Certbot амжилттай шинэчлэлтийг мэдээлж, дискэн дээрх файлууд шинэ огноотой болсон ч харилцагчид хуучин таних тэмдэгтэй таарч байна. SoftEther нь SSL серверийн сертификатаа өөрийн серверийн түвшний тохиргоонд хадгалдаг тул дискэн дээрх шинэ файл нь навч болон түүний түлхүүрийг импортлох хүртэл юу ч өөрчлөхгүй. Доорх дараалал нь нэг гар аргаар импортлох, шинэчлэлт бүрийн дараа ажилладаг бүрхүүл, мөн сонсогч бодит юу танилцуулж байгааг уншдаг шалгалтыг хамарна. Алхам бүр дараагийн шинэчлэлтийн дараа харьцуулж болох нотолгоо үлдээдэг.

Шинэчлэгдсэн файл серверийн таних тэмдгийг өөрчлөхгүй

Олголт ба байршуулалт нь тусдаа бүтэлгүйтлийн горимтой тусдаа үйл явдлууд юм. ACME харилцагч файлуудыг удамшлын хавтаст бичиж, амжилтыг бүртгэдэг; SoftEther харин тохиргоондоо хамгийн сүүлд ачаалагдсан сертификатыг үргэлжлүүлэн ашигладаг. Тиймээс тэг гаралтын төлөв нь файлуудыг дүрсэлдэг, үйлчилгээг биш, мөн хэн ч харахгүй л бол энэ хоёр зөрүүтэй байж болно. Импортыг байршуулалтын алхам, шинэчлэлтийг түүний оролт гэж үзээрэй.

Энэ ялгаа нь төөрөгдүүлсэн хагас бүтэлгүйтлийг ч тайлбарлана: хуучин сертификат хугацаа дуусах хүртэл ажилладаг тул эхэнд юу ч эвдэрсэн мэт харагдахгүй. Хугацаа дуусахад бүх харилцагч нэгэн зэрэг бүтэлгүйтдэг бөгөөд энэ нь алдсан байршуулалтын алхам биш, тасалдал мэт харагдана. Шинэчлэлт бүрийн дараа танилцуулагдсан таних тэмдгийг шалгах нь тэр гэнэтийн байдлыг өдөр тутмын ажиглалт болгоно.

Сонсогчид тохирох сорилтыг сонгоно уу

Сертификат нь харилцагчдын баталгаажуулдаг хостыг нэрлэх ёстой тул дотоод шошго эсвэл хаягийн оронд нийтийн DNS нэрийг ашиглана уу. HTTP-01 нь сорилтод 80 порт дээр хормын хугацаанд хариулахыг шаарддаг бөгөөд энэ нь түр сонсогч бөгөөд SoftEther-ийн өөрийн портыг зөөх шалтгаан хэзээ ч болохгүй. DNS-01 нь бүртгэлээр хяналтыг нотолж, орж ирэх HTTP огт шаарддаггүй.

Хяналтгүй шинэчлэлт гэдэг нь нэг бүсэд хязгаарлагдсан итгэмжлэлээр автоматжуулсан DNS интеграцийг хэлнэ, хоёр сар тутам гараар бичдэг TXT бүртгэл биш. Орлуулах тэмдэгт нь сорилтын төрлийг өөрчилдөг, тэр автоматжуулалтын хэрэгцээг биш. Үүнийг анхны сертификат үүсэхээс өмнө шийдээрэй, учир нь сорилтын төрлийг дараа өөрчлөх нь харилцагчийн тохиргоо болон галт ханыг хамт хөндөхийг хэлнэ.

Энд байх хугацаандаа артефактуудыг эмх цэгцтэй байлгаарай. Навч болон завсрын сертификатууд нь тусдаа файлууд болон нэг нэгдсэн гинж файл хэлбэрээр ирдэг, хувийн түлхүүр дахин тусдаа, импортод тохирох түлхүүртэй гинж хэрэгтэй, ганц нийтийн сертификат биш.

Гинжийг серверийн түвшинд импортлоно уу

Сертификатад хүрэхээс өмнө серверийн тохиргооны нөөц хуулбар хийж, удирдлагын интерфейст хүрч чадаж байгаагаа баталгаажуулна уу. Virtual Hub-ийн администратор биш, серверийн администратороор холбогдоорой, учир нь сертификат нь серверийн объектод хамаарна. Дараа нь гинж болон түлхүүрийг үнэмлэхүй замаар, тушаалыг ажиллуулж буй бүртгэл уншиж чадах файлуудаас ачаална уу. Замууд нь үнэмлэхүй, учир нь тушаал тэдгээрийг vpncmd ажиллуулсан процессын ажлын хавтсаас шийддэг:

ServerCertSet /LOADCERT:/etc/letsencrypt/live/vpn.example.com/fullchain.pem /LOADKEY:/etc/letsencrypt/live/vpn.example.com/privkey.pem

Амжилтыг таамаглахын оронд тушаалын гаралтыг уншаад, дараа нь өгсөн файлдаа итгэхийн оронд гинжийг дахин уншина уу. Бүх PEM багцыг импортолдог бүтээцүүд болон зөвхөн эхний сертификатыг авдаг бүтээцүүдийн хоорондын хил нэг газар баримтлагдаагүй тул таны өмнөх бүтээцийн хувьд шалгалт л шийднэ. Сонсогчийн танилцуулж буй сертификатуудыг тоолоорой; завсрын сертификатгүй навч бол зөвхөн эхний блокийг зарцуулсан импортлогчийн гарын үсэг юм.

Импортолсон түлхүүрийг зөвхөн серверийг ажиллуулж буй бүртгэлд унших боломжтой байлгаж, удирдлагын нууц үгийг shell-ийн түүхээс гадуур байлгаарай. Энэ анхны импортод нууц үгийг тушаалын аргумент болгон өгөхийн оронд асуултын үед бичнэ үү. Энэ хоёр дадал юунд ч өртөхгүй бөгөөд сертификатын байршуулалт хамгаалах ёстой зүйлээ алддаг хамгийн түгээмэл замыг арилгана. Үүнийг анхны импортын өмнө хийгээрэй, дараа нь биш.

Байршуулалтыг холбоно уу, шинэчлэлтийг биш

Гарын импорт ажиллаж эхэлсний дараа яг тэдгээр алхмыг жижиг бүрхүүлд хийж, амжилттай шинэчлэлтийн дараа ACME харилцагчаас дуудна уу. Certbot нь дэгээнд RENEWED_LINEAGE болон RENEWED_DOMAINS-ыг тогтоодог тул бүрхүүл олон сертификатыг удирддаг машин дээр нэг сертификат дээр ажиллаж чадна. Хост дээрх шинэчлэлт бүрт хариу үйлдэл үзүүлэхийн оронд удамшлаар шүүнэ үү. Бүрхүүл нь серверийн эрхээр ажилладаг байршуулалтын код тул тэр байрлал дахь бусад скрипт шиг хянана уу.

certbot renew --deploy-hook /usr/local/sbin/softether-deploy.sh

Хяналтгүй ажилладаг дэгээнд өөрийн хамгаалагдсан итгэмжлийн сан, мөн хүнд хүрэх бүтэлгүйтлийн дохио хэрэгтэй. Олголт амжилттай болж импорт бүтэлгүйтвэл өөр сертификат хүсэхийн оронд импортыг дахин оролдоорой, учир нь хоёр дахь хүсэлт нь байршуулалтын гэмтлийг шинэ файлын ард нуудаг. Certbot-ийн шинэчлэлтийн баримт бичиг юу ч шинэчлэхгүй ажиллагаа хэвийн үр дүн гэдгийг тодорхой хэлдэг тул хоёрыг ялгадаг нь дэгээ юм.

Танилцуулсан гинжийг файлтай харьцуулна уу

Диск биш, сонсогчийг уншина уу. Харилцагчдын ашигладаг серверийн нэрээр харилцагч руу чиглэсэн портод холбогдож, дараа нь хурууны хээ болон хүргэгдсэн гинжийг дэгээ суулгасан удамшлаар харьцуулна уу. Үүнийг хоёр тушаал хамардаг бөгөөд эхнийх нь завсрын сертификатууд огт ирж байгаа эсэхийг ч харуулна:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | grep -c 'BEGIN CERTIFICATE'
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -fingerprint -sha256

Дараа нь шинэ харилцагчийн холболт үүсгээрэй, учир нь импортын өмнө тогтоосон сессүүд өмнөх таних тэмдгээр баталгаажсан бөгөөд шинэ тухай юу ч нотлохгүй. Хэрэв харилцагчид хуучин навчийг тогтоосон бол, нийтийн гинж хүчинтэй байсан ч тэдэнд зохицуулсан шинэчлэлт хэрэгтэй бөгөөд энэ ажил нь шинэчлэлттэй нэг runbook-т хамаарна. Үйлчилгээний өмнөх урвуу прокси сайн сертификат танилцуулж болох ч VPN сонсогч хуучныг нь барьсан хэвээр байж болзошгүй тул шалгалт нь харилцагчид бодитоор хүрдэг портыг нэрлэх ёстой. Шинэчлэлтийн огнооны дэргэд хурууны хээг бичээрэй, ингэснээр дараагийн харьцуулалт санах ойн үйлдэл биш, шалгалт болно.