Ralat sijil web Access Server: bundel CA kosong

Nilai ca_bundle kosong atau PEM rosak menghentikan antara muka Admin. Sahkan sijil, kunci dan rantaian sebagai satu set sebelum mula semula, dan jangan sentuh PKI VPN.

Halaman log masuk web yang tidak dimuatkan sedangkan DNS diselesaikan dengan betul biasanya bukan masalah DNS. Jika log perkhidmatan menyebut laluan bundel sijil kosong atau kegagalan penghuraian PEM bagi sijil web dan kunci peribadi, pendengar HTTPS tiada bahan yang boleh digunakan dan penyelesaian nama tidak akan membantu. Pembaikan terletak pada tiga kunci konfigurasi dan tidak memerlukan pengeluaran semula mana-mana sijil klien VPN.

Ke mana tiga kunci itu sebenarnya menunjuk

Set sijil web tersuai diterangkan oleh cs.cert, cs.priv_key dan cs.ca_bundle. Setiap satu menyimpan laluan fail, dan perkhidmatan web menggunakan ketiga-tiganya bersama. Sijil dengan kunci yang salah, atau fail rantaian yang sebenarnya sijil daun, gagal seperti nilai kosong.

Kunci ini milik antara muka web Admin dan Client. Ia berasingan daripada PKI yang mengeluarkan sijil kepada klien VPN, jadi penggantian tidak memerlukan sentuhan pada profil, kunci pelayan atau pihak berkuasa sijil. Membina semula seluruh PKI ialah kesilapan paling mahal di sini.

Satu perbezaan menjimatkan masa: nilai tersuai yang kosong secara eksplisit bukan keadaan yang sama seperti tiada penggantian. Yang pertama memberi penghurai laluan kosong, itulah yang dikatakan baris log. Yang kedua membiarkan Access Server pada bahannya sendiri.

Mengapa fail yang ada masih gagal dihuraikan

Penghurai membaca blok berlabel di dalam fail, bukan nama fail. .crt yang mengandungi kunci peribadi, rantaian ditulis sebagai satu blok, atau fail dengan baris terakhir dipotong semuanya ditolak. RFC 7468 mentakrifkan label itu kerana hanya itu yang memberitahu pembaca jenis objek seterusnya.

Periksa objek, bukan sambungan. Pada hos Linux, openssl x509 -noout -subject -issuer -in server.pem dan openssl pkey -noout -check -in key.pem menjawab dua soalan penting, dan perbandingan modulus atau kunci awam membuktikan kedua-duanya sepadan. Jauhkan output kunci peribadi daripada tiket dan log sembang.

Laluan kosong sama mencurigakan seperti fail rosak, kerana kedua-duanya menghasilkan ralat lanjutan yang kabur. Jika log menyatakan laluan bundel kosong, baca nilai tersimpan sebelum menyahpepijat fail.

Kembali ke sandaran dengan sengaja

CLI Access Server mempunyai pemeriksaan pengesahan yang mengambil tiga laluan sebagai argumen dan melaporkan sama ada set itu boleh digunakan. Laluan di bawah ialah contoh; gantikannya dengan lokasi terlindung pada hos.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Baca hasilnya sebelum menyentuh perkhidmatan yang berjalan, kemudian import nilai dan gunakannya melalui operasi berdokumen untuk versi yang dipasang. tutorial CLI rasmi merangkumi pengesahan, import dan langkah penggunaan, dan versinya lebih penting daripada mana-mana ringkasan.

Sahkan nama yang benar-benar ditaip pengguna

Apabila bahan tersuai rosak dan sandaran terbina dalam yang sah masih ada, pemulihan berdokumen ialah membuang tiga penggantian tersuai dan membiarkan Access Server menggunakan sandaran itu. Sediakan akses konsol dan salinan konfigurasi semasa terlebih dahulu.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Memadam seluruh pangkalan data konfigurasi bukan pembaikan sijil. Sasarkan tiga kunci itu, gunakan dan sahkan antara muka web bertindak balas. Fail yang ditandatangani sendiri dalam direktori web-ssl ialah sumber sandaran, bukan ruang kerja.

Jangkakan pelayar menunjukkan sijil berbeza selepas sandaran berkuat kuasa. Itulah hasil yang betul; sahkan melalui proses pentadbiran yang dipercayai.

Pemulihan selesai selewat-lewatnya selepas log masuk berjaya

Pemulihan belum selesai apabila pendengar TCP muncul. Sahkan nama DNS, identiti sijil dan rantaian untuk nama itu, kemudian muatkan antara muka Admin dan Client dan selesaikan log masuk. Pemeriksaan port tidak membuktikan apa-apa daripada itu.

Access Server 3.1 dan seterusnya boleh menyediakan sijil web berbeza bagi setiap nama hos SNI. Jika dikonfigurasikan, kunci lalai dan entri khusus nama ialah set berasingan, dan ujian melalui alamat IP mudah menunjukkan sijil berbeza daripada yang diterima pengguna. Betulkan dan sahkan set bagi nama yang gagal, dan ulangi ujian log masuk sebelum menutup insiden.

Artikel berkaitan