Żball taċ-ċertifikat tal-web f^Access Server: il-bundle CA vojt

Valur ca_bundle vojt jew PEM difettuż iwaqqaf l-interface Admin. Ivverifika ċertifikat, ċavetta u katina bħala sett wieħed qabel terġa tibda, u tħarrixx il-PKI tal-VPN.

Paġna tad-dħul tal-web li ma tgħabbix waqt li d-DNS jiġi riżolt sewwa normalment mhix problema tad-DNS. Jekk ir-reġistru tas-servizz isemmi mogħdija vojta tal-bundle taċ-ċertifikati jew falliment fil-parsing PEM taċ-ċertifikat tal-web u ċ-ċavetta privata, is-semmiegħ HTTPS m'għandux materjal użabbli u l-ebda riżoluzzjoni tal-ismijiet ma tgħin. It-tiswija tinsab fi tliet ċwievet tal-konfigurazzjoni u ma teħtieġx li jerġa jinħareġ ebda ċertifikat tal-klijent VPN.

Għal xiex tassew jindikaw it-tliet ċwievet

Is-sett taċ-ċertifikati tal-web personalizzat huwa deskritt minn cs.cert, cs.priv_key u cs.ca_bundle. Kull wieħed jaħżen mogħdija għal fajl, u s-servizz tal-web juża t-tlieta flimkien. Ċertifikat bċavetta ħażina, jew fajl tal-katina li fil-verità huwa ċ-ċertifikat tal-werqa, ifalli bħal valur vojt.

Dawn iċ-ċwievet jappartjenu għall-interface tal-web Admin u Client. Huma separati mill-PKI li toħroġ iċ-ċertifikati lill-klijenti VPN, għalhekk is-sostituzzjoni ma teħtieġx li tmiss il-profili, iċ-ċavetta tas-server jew l-awtorità taċ-ċertifikati. Li tibni mill-ġdid il-PKI kollu huwa l-iżball l-aktar għali hawn.

Differenza waħda tiffranka l-ħin: valur personalizzat vojt b'mod espliċitu mhuwiex l-istess stat bħal ebda sostituzzjoni. L-ewwel jagħti lill-parser mogħdija vojta, hekk tgħid il-linja tar-reġistru. It-tieni jħalli lill-Access Server fuq il-materjal tiegħu stess.

Għaliex fajl li jeżisti xorta ma jiġix ipparsjat

Il-parser jaqra l-blokki ttikkettati fil-fajl, mhux l-isem tal-fajl. .crt li jkun fih ċavetta privata, katina miktuba bħala blokka waħda, jew fajl b'aħħar linja maqtugħa jiġu miċħuda. RFC 7468 jiddefinixxi dawk it-tikketti għax huma l-unika ħaġa li tgħid lill-qarrej x'tip ta oġġett imiss.

Eżamina l-oġġetti, mhux l-estensjonijiet. Fuq host Linux, openssl x509 -noout -subject -issuer -in server.pem u openssl pkey -noout -check -in key.pem iwieġbu żewġ mistoqsijiet importanti, u t-tqabbil tal-modulus jew taċ-ċavetta pubblika jipprova li huma flimkien. Żomm il-ħruġ taċ-ċavetta privata l bogħod mit-tikits u mir-reġistri taċ-chat.

Mogħdija vojta tistħoqq l-istess suspett bħal fajl difettuż, għax it-tnejn jagħtu żbalji vagi aktar tard. Jekk ir-reġistru jgħid li l-mogħdija tal-bundle hija vojta, aqra l-valur maħżun qabel ma tiddebuvja l-fajl.

Erġa lura għall-fallback bl-għaqal

Il-CLI tal-Access Server għandu verifika li tieħu t-tliet mogħdijiet bħala argumenti u tirrapporta jekk is-sett huwiex użabbli. Il-mogħdijiet hawn taħt huma eżempji; ibdelhom mal-postijiet protetti fuq il-host.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Aqra r-riżultat qabel ma tmiss is-servizz li qed jaħdem, imbagħad importa l-valuri u applika permezz tal-operazzjoni dokumentata għall-verżjoni installata. it-tutorial uffiċjali tal-CLI ikopri l-verifika, l-import u l-pass tal-applikazzjoni, u l-verżjoni tiegħu timporta aktar minn kwalunkwe sommarju.

Ivverifika l-isem li l-utenti tassew jiktbu

Meta l-materjal personalizzat ikun miksur u għad hemm fallback integrata valida, l-irkupru dokumentat huwa li tneħħi t-tliet sostituzzjonijiet u tħalli lill-Access Server juża dik il-fallback. Ipprovdi l-ewwel aċċess għall-console u kopja tal-konfigurazzjoni attwali.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

It-tħassir tal-bażi tad-data tal-konfigurazzjoni kollha mhuwiex tiswija taċ-ċertifikat. Immira lejn dawk it-tliet ċwievet, applika u kkonferma li l-interface tal-web iwieġeb. Il-fajls iffirmati minnhom infushom fid-direttorju web-ssl huma r-riżorsa tal-fallback, mhux spazju tax-xogħol.

Stenna li l-browser juri ċertifikat differenti wara li tidħol fis-seħħ il-fallback. Dan huwa r-riżultat korrett; ivverifikah permezz tal-proċess amministrattiv affidabbli tiegħek.

L-irkupru jispiċċa biss wara dħul b'suċċess

L-irkupru mhuwiex lest meta jidher semmiegħ TCP. Ivverifika l-isem DNS, l-identità taċ-ċertifikat u l-katina għal dak l-isem, imbagħad tgħabbi l-interface Admin u Client u tlesti d-dħul. Verifika tal-port ma tipprova xejn minn dan.

Access Server 3.1 u wara jistgħu jservu ċertifikati tal-web differenti għal kull isem tal-host SNI. Jekk dan huwa kkonfigurat, iċ-ċwievet default u d-dħul speċifiku għall-isem huma settijiet separati, u t-test bl-indirizz IP faċilment juri ċertifikat differenti minn dak li jieħdu l-utenti. Sejjaħ u vverifika s-sett għall-isem li falla, u erġa għamel it-test tad-dħul qabel ma tagħlaq l-inċident.

Artikli relatati