Client VPN сертификатыг дахин импортлоход яагаад шинэ төгсгөлийн цэг шаардлагатай вэ

Client VPN холболт тасарч, ACM дахь сертификат солигдоод, юу ч өөрчлөгдөхгүй. Сертификатын объект нь төгсгөлийн цэгийн ашиглаж байсан зүйл хэзээ ч байгаагүй. Төгсгөлийн цэг үүсгэх үед сертификаттай холбоосыг хадгалж, түүнтэй хамт шалгах клиент CA, баталгаажуулалтын төрөл, дэд сүлжээ, зөвшөөрлийн дүрмийг тогтмол шинж чанар болгон хадгалдаг бөгөөд эдгээр холбоосын аль нь ч орлуулах сертификатыг хүлээн авдаг өөрчлөлтийн дуудлагагүй. ARN-ийн ард байгаа байтуудыг солих нь сертификатын өөрчлөлт, түүнийг барьсан төгсгөлийн цэгийн биш.

Төгсгөлийн цэг сертификат биш, лавлагаа хадгалдаг

Энэ механизмыг нарийн томьёолох нь зүйтэй, учир нь энэ нь бүх алдааг тайлбарладаг. create-client-vpn-endpoint серверийн сертификатын ARN болон клиентийн үндсэн сертификатын гинжин хэлхээний ARN-ыг авч, үүссэн төгсгөлийн цэг тэдгээр лавлагааг баталгаажуулалтын сонголтуудтай хамт тогтмол шинж чанар болгон хадгална. API нь одоо байгаа төгсгөлийн цэг дээр серверийн сертификатыг солих үйлдэл санал болгодоггүй.

Та холбоосыг таамаглахгүйгээр баталж болно. aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 сертификатын ARN, клиентийн үндсэн гинжийн ARN, баталгаажуулалтын төрөл, клиентийн CIDR болон холбогдох дэд сүлжээг хэвлэдэг бөгөөд энэ нь таны дахин бүтээх ёстой шинж чанаруудын бүрэн багц юм. Үүнийг дахин импортын өмнө болон дараа ажиллуулахад гаралт хөдлөхгүй. Энэ нь дахин импорт хэзээ ч тус болохгүй байсны нотолгоо юм.

Дахин импорт яагаад төгсгөлийн цэгт хүрч чадахгүй вэ

Дахин импорт одоо байгаа ARN-ийн дор шинэ сертификатын биеийг бичдэг. Сертификатын хугацаа дуусахад ойрхон үед энэ нь хууль ёсны үйлдэл бөгөөд хувийн түлхүүр тохирч, гинж баталгаажвал ACM үүнийг хүлээн авна. Гэхдээ төгсгөлийн цэгийн үүсгэх үеийн баталгаажуулалтыг дахин ажиллуулдаггүй тул холбоос болон түүний ардах материал төгсгөлийн цэг баригдсан үеийнхээрээ үлддэг.

Тиймээс шинж тэмдэг нь сүлжээний гэмтэл мэт сонсогддог. TLS гар барилт нь зөвшөөрөл үнэлэгдэхээс өмнө бүтэлгүйтэх эсвэл дахин тохируулагддаг тул аюулгүй байдлын бүлгүүд, маршрут, зөвшөөрлийн дүрмүүд бүгд гэм зэмгүй харагддаг, үнэхээр тийм.

Гинж нь клиентийн сертификатын хэсэг

Алдааны хоёр дахь хагас нь клиентийн сертификат дотор байгаа бөгөөд үүнийг үл тоомсорлох нь илүү хялбар. Клиентийн сертификатыг түүнийг олгосон гинжин хэлхээний хамт импортлох ёстой, импортын маягт тэр талбарыг заавал бус гэж харуулсан ч. Гинжгүйгээр төгсгөлийн цэг клиентийн сертификатаас өөрийг нь тохируулсан клиентийн үндсэн CA хүртэл зам барьж чадахгүй бөгөөд холболт пакет унагаж буй галт ханын аястай зөөлөн дахин тохируулалтаар төгсдөг. openssl verify -CAfile root-ca.pem client.crt энэ асуултад локалаар нэг секундэд хариулдаг бөгөөд энэ нь таны ажиллуулах эхний команд байх ёстой.

Гинжин хэлхээний хамт дахин импортлох нь тэр хагаст жинхэнэ засвар бөгөөд гэсэн хэдий ч дангаараа хангалтгүй. ACM объект өөрчлөгдсөний дараа хуучин холбоосыг хадгалж буй төгсгөлийн цэг нь туршилтыг үргэлжлүүлэх буруу зүйл юм. Хоёр алхам нь нэг засварт хамаардаг тул хоёр хэсэгтэй засвар нь зөрчил биш.

Төгсгөлийн цэгийг дахин үүсгэх нь шилжилт

Орлуулах төгсгөлийн цэг үүсгэх нь шилжилт, дахин оролдлого биш, үүнийг дахин оролдлого гэж үзэх нь багууд хагас тохируулсан хоёр төгсгөлийн цэгтэй үлдэх зам юм. Шинэ төгсгөлийн цэг шинэ ID авч, хэрэв та төлөвлөөгүй бол хэрэглэгч бүрт шинэ DNS нэр авна. Клиентийн профайлыг хаяг руу биш, нэр рүү чиглүүлж байлга, ингэснээр солилт дахин хуваарилалт биш, бичлэгийн өөрчлөлт болно.

Үүнийг аюулгүй байлгах дараалал богино: шинэ төгсгөлийн цэгийг ижил CIDR, дэд сүлжээ, зөвшөөрлийн дүрмээр үүсгэж, aws ec2 export-client-vpn-client-configuration-аар шинэ профайл экспортолж, нэг хэрэглэгчээр шалгана. Үүний дараа л хуучин төгсгөлийн цэг бууна.

Хуучин төгсгөлийн цэгийг ашиглалтаас гаргах нь өөрийн дараалалтай. Устгахын өмнө орхих гэж байсан клиентийн сертификатуудыг хүчингүй болго, учир нь хуучин CA-д итгэсээр байгаа шинэ төгсгөлийн цэг алга болсон гэж бодсон сертификатуудыг хүлээн авсаар байна. Дараа нь хуучин төгсгөлийн цэгийг устгаж, зөвшөөрлийн дүрмийг нь хас, ингэснээр хуучирсан профайл хаалттай гэж бодсон зорилтот сүлжээнд дахин холбогдохгүй. Хуучин төгсгөлийн цэгийн ID болон холбоосын танигчийг өөрчлөлтийн бүртгэлд бич, учир нь ой санамжтай харьцуулсан шилжилт нь ажиллаж буй төгсгөлийн цэгийг хоёр удаа дахин барих зам юм.

Оношилгоог цэгцэл

Аливаа тохиргоог өөрчлөхөөс өмнө гурван алдааг тусгаарла. Клиент TLS-ийг дуусгаж чадахгүй, клиент TLS-ийг дуусгасан ч зөвшөөрөлгүй, эсвэл клиент холбогдсон ч очих газарт хүрч чадахгүй. Сертификатын холбоос эхнийхэд, клиентийн хаягийг хамардаггүй зөвшөөрлийн дүрэм хоёрдугаарт, маршрут эсвэл аюулгүй байдлын бүлэг гуравдугаарт хамаарна, энд төгсгөлийн цэгийг дахин үүсгэх нь бараг үргэлж буруу алхам.

Хэдэн сар ажилласны дараа сертификат эсвэл бодлогын өөрчлөлтгүйгээр зогссон төгсгөлийн цэг нь тусдаа тохиолдол. Үүнийг ижил тохиргоогоор дахин барих нь үйлчилгээг сэргээж болох ч энэ нь тохиргоог дахин үйлдвэрлэх боломжтой байлгах шалтгаан, тохиолдол бүрт дахин барих шалтгаан биш.

Дараагийн дахин барилт нь импровизаци биш, diff байхын тулд дөрвөн зүйлийг хувилбарын хяналтад байлга: төгсгөлийн цэгийн параметрүүд, сертификат болон гинжийн ARN, зөвшөөрлийн дүрэм, клиентийн CIDR. Client VPN баталгаажуулалтын баримт бичиг аль сертификат ямар үүрэг гүйцэтгэдэггүйг жагсаадаг, сертификат л асуудал гэж үзэхээс өмнө үүнийг шалгах нь зүйтэй. Хэрэв дахин импорт юу ч өөрчлөхгүй, төгсгөлийн цэг дахин тохируулагдсаар байвал сэжигтэй нь холбоос бөгөөд хариулт нь бүртгэсэн параметрүүдээс барьсан шинэ төгсгөлийн цэг юм. Хэрэв төгсгөлийн цэг шинэ объектыг авч байвал холбоос аль хэдийн зөв байсан бөгөөд алдаа нь клиентийн гинжин хэлхээ эсвэл зөвшөөрлийн давхаргад байна.