SoftEther ServerCertSet: importa l-katina mġedda b'vpncmd

Certbot jirrapporta tiġdid b'suċċess, il-fajls fuq id-diska jġorru dati ġodda, u l-klijenti għadhom jiltaqgħu mal-identità l-qadima. SoftEther iżomm iċ-ċertifikat SSL tas-server tiegħu fil-konfigurazzjoni tiegħu stess fil-livell tas-server, għalhekk fajl ġdid fuq id-diska ma jbiddel xejn sakemm il-werqa u ċ-ċavetta tagħha jiġu importati. Is-sekwenza t'hawn taħt tkopri import manwali wieħed, qafas li jaħdem wara kull tiġdid, u verifika li taqra dak li s-semmiegħ tassew jippreżenta. Kull pass iħalli provi li tistgħu tqabblu wara t-tiġdid li jmiss.

Fajl imġedded ma jbiddilx l-identità tas-server

Il-ħruġ u t-tqegħid huma avvenimenti separati b'modi ta' falliment separati. Il-klijent ACME jikteb il-fajls f'direttorju tal-linja u jirreġistra s-suċċess; SoftEther ikompli juża ċ-ċertifikat li kien l-aħħar mgħobbi fil-konfigurazzjoni tiegħu. Għalhekk status ta' ħruġ żero jiddeskrivi l-fajls, mhux is-servizz, u t-tnejn jistgħu jaqblu ħażin sakemm ħadd ma jħares. Ittratta l-import bħala l-pass tat-tqegħid u t-tiġdid bħala l-input tiegħu.

Dik id-distinzjoni tispjega wkoll in-nofs falliment konfuż: iċ-ċertifikat il-qadim ikompli jaħdem sal-iskadenza tiegħu, għalhekk fil-bidu xejn ma jidher miksur. Meta tiskadi, il-klijenti kollha jfallu f'daqqa, li jidher bħala qtugħ u mhux bħala pass tat-tqegħid li ntlifa. Il-verifika tal-identità ppreżentata wara kull tiġdid tibdel dik is-sorpresa f'osservazzjoni rutina.

Agħżel l-isfida li taqbel mas-semmiegħ

Iċ-ċertifikat irid isemmi l-host li l-klijenti jivverifikaw, għalhekk uża l-isem DNS pubbliku minflok tikketti interni jew indirizz. HTTP-01 jeħtieġ li l-isfida tiġi mwieġba fuq il-port 80 għal mument, li huwa semmiegħ temporanju u qatt mhu raġuni biex tmexxi l-port proprju ta' SoftEther. DNS-01 jipprova l-kontroll permezz ta' rekord u m'għandux bżonn HTTP deħlin xejn.

Tiġdid mingħajr superviżjoni jfisser integrazzjoni DNS awtomatizzata b'kredenzjali limitati għal żona waħda, mhux rekord TXT mikteb bl-idejn kull xahrejn. Wildcard ibiddel it-tip ta' sfida, mhux il-ħtieġa ta' dik l-awtomazzjoni. Iddeċiedi dan qabel ma jeżisti l-ewwel ċertifikat, għax li tbiddel it-tip ta' sfida aktar tard ifisser li tmiss il-konfigurazzjoni tal-klijent u l-firewall flimkien.

Żomm l-artefatti sewwa sakemm int hawn. Il-werqa u l-intermedji jiġu bħala fajls separati u bħala fajl tal-katina magħqud, iċ-ċavetta privata hija separata mill-ġdid, u l-import jeħtieġ il-katina bil-ċavetta li taqbel magħha, mhux ċertifikat pubbliku waħdu.

Importa l-katina fil-livell tas-server

Agħmel backup tal-konfigurazzjoni tas-server u kkonferma li għadek tista' tasal għall-interface tal-ġestjoni qabel ma tmiss iċ-ċertifikat. Qabbad bħala amministratur tas-server u mhux amministratur tal-Virtual Hub, għax iċ-ċertifikat jappartjeni lill-oġġett tas-server. Imbagħad għabbi l-katina u ċ-ċavetta b'pass assolut, minn fajls li l-kont li jwettaq il-kmand jista' jaqra. Innota li l-passes huma assoluti għax il-kmand isolvihom mid-direttorju tax-xogħol tal-proċess li wettaq vpncmd:

ServerCertSet /LOADCERT:/etc/letsencrypt/live/vpn.example.com/fullchain.pem /LOADKEY:/etc/letsencrypt/live/vpn.example.com/privkey.pem

Aqra l-output tal-kmand minflok tassumi suċċess, u mbagħad erġa' aqra l-katina minflok tafda l-fajl li tajt. Il-fruntiera bejn builds li jimportaw pakkett PEM sħiħ u builds li jieħdu biss l-ewwel ċertifikat mhijiex dokumentata f'post wieħed, għalhekk il-verifika hija dik li tiddeċidiha għall-build quddiemek. Għodd iċ-ċertifikati li jippreżenta s-semmiegħ; werqa mingħajr intermedji hija l-firma ta' importatur li kkonsma biss l-ewwel blokka.

Żomm iċ-ċavetta importata tinqara biss mill-kont li jwettaq is-server, u żomm il-password tal-ġestjoni barra mill-istorja tas-shell. Għal dan l-ewwel import, ittaipja l-password fil-prompt minflok tagħtiha bħala argument tal-kmand. Dawn iż-żewġ drawwiet ma jiswew xejn u jneħħu l-aktar mod komuni li bih it-tqegħid taċ-ċertifikat ixerred xi ħaġa li kellu jipproteġi. Agħmel dan qabel l-ewwel import, mhux warajh.

Aqbad it-tqegħid, mhux it-tiġdid

Meta l-import manwali jaħdem, poġġi dawk il-passi eżatt f'qafas żgħir u sejjaħlu mill-klijent ACME wara tiġdid b'suċċess. Certbot jistabbilixxi RENEWED_LINEAGE u RENEWED_DOMAINS għall-hook, għalhekk il-qafas jista' jaġixxi fuq ċertifikat wieħed f'magna li tamministra bosta. Iffiltra bil-linja minflok tirreaġixxi għal kull tiġdid fuq il-host. Il-qafas huwa kodiċi tat-tqegħid li jaħdem bil-privileġġi tas-server, għalhekk erġa' eżaminah bħal kull script ieħor f'dik il-pożizzjoni.

certbot renew --deploy-hook /usr/local/sbin/softether-deploy.sh

Hook li jaħdem mingħajr superviżjoni jeħtieġ maħżen tal-kredenzjali protett tiegħu u sinjal ta' falliment li jasal għand bniedem. Jekk il-ħruġ jirnexxi u l-import ifalli, erġa' pprova l-import minflok titlob ċertifikat ieħor, għax it-tieni talba taħbi d-difett tat-tqegħid wara fajl ġdid. Id-dokumentazzjoni tat-tiġdid ta' Certbot tgħid ċar li ġirja li ma taġġornax xejn hija riżultat normali, għalhekk il-hook huwa dak li jiddistingwi t-tnejn.

Qabbel il-katina ppreżentata mal-fajl

Aqra s-semmiegħ, mhux id-diska. Qabbad mal-port li jħares lejn il-klijenti bl-isem tas-server li jużaw il-klijenti, imbagħad qabbel il-marka tas-swaba' u l-katina kkonsenjata mal-linja li installa l-hook. Żewġ kmandi jkopru dan, u l-ewwel wieħed juri wkoll jekk l-intermedji jaslux xejn:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | grep -c 'BEGIN CERTIFICATE'
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -fingerprint -sha256

Imbagħad agħmel konnessjoni tal-klijent ġdida, għax is-sessjonijiet stabbiliti qabel l-import ġew awtentikati kontra l-identità preċedenti u ma jippruvaw xejn dwar dik il-ġdida. Jekk il-klijenti jipperżżaw il-werqa l-qadima, għandhom bżonn aġġornament ikkoordinat anki meta l-katina pubblika tkun valida, u dak ix-xogħol jappartjeni għall-istess runbook tat-tiġdid. Prokura inversa quddiem is-servizz tista' tippreżenta ċertifikat tajjeb waqt li s-semmiegħ tal-VPN għadu jżomm dak il-qadim, u għalhekk il-verifika trid issemmi l-port li l-klijenti tassew jaslu għalih. Innota l-marka tas-swaba' ħdejn id-data tat-tiġdid, sabiex it-tqabbil li jmiss ikun verifika u mhux att ta' tifkira.