Għaliex l-importazzjoni mill-ġdid ta' ċertifikat Client VPN teħtieġ punt tat-tmiem ġdid

Konnessjoni Client VPN tinqata', iċ-ċertifikat f'ACM jiġi sostitwit, u xejn ma jinbidel. L-oġġett taċ-ċertifikat qatt ma kien dak li kien qed juża l-punt tat-tmiem. Il-punt tat-tmiem jaħżen fiż-żmien tal-ħolqien assoċjazzjoni ma' ċertifikat, flimkien mal-CA tal-klijent li se jivvalida kontriha, it-tip ta' awtentikazzjoni, is-subnets u r-regoli tal-awtorizzazzjoni, u ebda waħda minn dawn l-assoċjazzjonijiet m'għandha sejħa ta' modifika li taċċetta ċertifikat sostitut. Is-sostituzzjoni tal-bytes wara ARN hija bidla fiċ-ċertifikat, mhux fil-punt tat-tmiem li qabdu.

Il-punt tat-tmiem jaħżen referenzi, mhux ċertifikati

Il-mekkaniżmu jistħoqqlu formulazzjoni preċiża għax jispjega l-falliment kollu. create-client-vpn-endpoint jieħu ARN ta' ċertifikat tal-server u ARN ta' katina ta' ċertifikati root tal-klijent, u l-punt tat-tmiem li jirriżulta jżomm dawk ir-referenzi flimkien mal-għażliet tal-awtentikazzjoni bħala proprjetajiet fissi. L-API ma toffrix operazzjoni li tibdel iċ-ċertifikat tal-server fuq punt tat-tmiem eżistenti.

Tista' tikkonferma l-irbit mingħajr ma taqta' bl-addoċċ. aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 jipprintja l-ARN taċ-ċertifikat, l-ARN tal-katina root tal-klijent, it-tip ta' awtentikazzjoni, is-CIDR tal-klijent u s-subnets assoċjati, jiġifieri s-sett sħiħ ta' proprjetajiet li jkollok tirriproduċi. Mexxiha qabel u wara importazzjoni mill-ġdid u l-output ma jiċċaqlaqx. Dan huwa l-prova li l-importazzjoni mill-ġdid qatt ma kienet se tgħin.

Għaliex importazzjoni mill-ġdid ma tistax tilħaq il-punt tat-tmiem

Importazzjoni mill-ġdid tikteb korp ġdid ta' ċertifikat taħt ARN eżistenti. Din hija operazzjoni leġittima meta ċertifikat ikun qrib l-iskadenza, u ACM se taċċettaha sakemm iċ-ċavetta privata taqbel u l-katina tivvalida. Dak li ma tagħmilx huwa li terġa' tmexxi l-validazzjoni tal-ħin tal-ħolqien tal-punt tat-tmiem, għalhekk l-assoċjazzjoni u l-materjal warajha jibqgħu kif kienu meta nbena l-punt tat-tmiem.

Huwa għalhekk ukoll li s-sintomu jinqara bħal ħsara tan-netwerk. L-handshake TLS jonqos jew jiġi reset qabel ma l-awtorizzazzjoni tiġi evalwata, għalhekk il-gruppi tas-sigurtà, ir-rotot u r-regoli tal-awtorizzazzjoni kollha jidhru innoċenti, u huma hekk.

Il-katina hija parti miċ-ċertifikat tal-klijent

It-tieni nofs tal-falliment jinsab fiċ-ċertifikat tal-klijent, u huwa eħfef li tiskartah. Iċ-ċertifikat tal-klijent għandu jiġi importat mal-katina li ħarġitu, għalkemm il-formola tal-importazzjoni turi dak il-qasam bħala fakultattiv. Mingħajr il-katina l-punt tat-tmiem ma jistax jibni mogħdija miċ-ċertifikat tal-klijent sal-CA root tal-klijent li biha ġie konfigurat, u l-konnessjoni tintemm fi reset artab li jinstema' bħal firewall li jittaqqal pakketti. openssl verify -CAfile root-ca.pem client.crt iwieġeb dik il-mistoqsija lokalment fi ftit sekondi, u għandu jkun l-ewwel kmand li tmexxi.

Importazzjoni mill-ġdid mal-katina hija tiswija vera għal dak in-nofs, u għadha mhix biżżejjed waħedha. Ladarba l-oġġett f'ACM ikun inbidel, il-punt tat-tmiem li jżomm l-assoċjazzjoni l-antika huwa l-ħaġa żbaljata kontra liema tkompli tittestja. Iż-żewġ passi jappartjenu għall-istess tiswija, u għalhekk it-tiswija f'żewġ partijiet mhix kontradizzjoni.

Il-ħolqien mill-ġdid ta' punt tat-tmiem hija migrazzjoni

Il-ħolqien ta' punt tat-tmiem sostitut hija migrazzjoni, mhux tentattiv mill-ġdid, u t-trattament tiegħu bħala tentattiv mill-ġdid huwa l-mod kif timijiet jispiċċaw b'żewġ punti tat-tmiem nofs konfigurati. Il-punt tat-tmiem il-ġdid jieħu ID ġdid u, sakemm ma ppjanajtx dan, isem DNS ġdid għal kull utent. Żomm il-profil tal-klijent ippuntat lejn isem minflok indirizz, sabiex il-bdil isir bidla fir-rekord u mhux distribuzzjoni mill-ġdid.

L-ordni li jżomm dan sigur huwa qasir: oħloq il-punt tat-tmiem il-ġdid bl-istess CIDR, subnets u regoli tal-awtorizzazzjoni, esporta profil ġdid b'aws ec2 export-client-vpn-client-configuration, u ivverifika b'utent wieħed. Wara dan biss jinżel il-punt tat-tmiem l-antik.

L-irtirar tal-punt tat-tmiem l-antik għandu l-ordni tiegħu. Irrevoka ċ-ċertifikati tal-klijent li ħsibt li tirtira qabel ma tħassarha, għax punt tat-tmiem ġdid li għadu jafda s-CA l-antika jkompli jaċċetta ċertifikati li ħsibt li telqu. Imbagħad ħassar il-punt tat-tmiem l-antik u neħħi r-regoli tal-awtorizzazzjoni tiegħu, sabiex profil antik ma jkunx jista' jerġa' jibqa' mqabbad ma' netwerk fil-mira li ħsibt li kien magħluq. Ikteb l-ID tal-punt tat-tmiem l-antik u l-identifikaturi tal-assoċjazzjoni fir-rekord tal-bidliet, għax migrazzjoni mqabbla mal-memorja hija l-mod kif punt tat-tmiem li jaħdem jerġa' jinbena darbtejn.

Ordna d-dijanjosi

Issepara tliet fallimenti qabel ma tibdel kwalunkwe konfigurazzjoni. Il-klijent ma jistax itemm TLS, il-klijent itemm TLS u mhuwiex awtorizzat, jew il-klijent jikkonnettja u ma jilħaqx destinazzjoni. L-assoċjazzjoni taċ-ċertifikat tappartjeni għall-ewwel, regola ta' awtorizzazzjoni li ma tkoprix l-indirizz tal-klijent tappartjeni għat-tieni, u rotta jew grupp tas-sigurtà jappartjeni għat-tielet, fejn il-ħolqien mill-ġdid ta' punt tat-tmiem kważi dejjem huwa l-mossa żbaljata.

Punt tat-tmiem li ħadem għal xhur u mbagħad waqaf, mingħajr bidla fiċ-ċertifikat jew fil-politika, huwa każ għalih. Li terġa' tibnih bl-istess settings jista' jġib is-servizz lura, iżda dan huwa raġuni biex iżżomm il-konfigurazzjoni riproduċibbli, mhux raġuni biex terġa' tibnih f'kull inċident.

Żomm erba' affarijiet taħt il-kontroll tal-verżjonijiet sabiex il-bini mill-ġdid li jmiss ikun diff u mhux improvizzazzjoni: il-parametri tal-punt tat-tmiem, l-ARN taċ-ċertifikat u tal-katina, ir-regoli tal-awtorizzazzjoni u s-CIDR tal-klijent. Id-dokumentazzjoni tal-awtentikazzjoni ta' Client VPN telenka liema ċertifikat jaqdi liema rwol, u dan jistħoqqlu verifika qabel ma tassumi li ċertifikat huwa l-problema. Jekk importazzjoni mill-ġdid ma tbiddel xejn u l-punt tat-tmiem għadu jiġi reset, l-assoċjazzjoni hija s-suspettata u t-tweġiba hija punt tat-tmiem ġdid mibni mill-parametri rreġistrati. Jekk il-punt tat-tmiem fil-fatt jieħu l-oġġett il-ġdid, l-assoċjazzjoni kienet diġà korretta u l-ħsara tinsab fil-katina tal-klijent jew fis-saff tal-awtorizzazzjoni.