Websertifikatfeil i Access Server: den tome CA-pakken

Ein tom ca_bundle-verdi eller ein skadd PEM stoggar Admin-grensesnittet. Stadfest sertifikat, nøkkel og kjede som eitt sett før omstart, og lat VPN-PKI-en vere i fred.

Ei innloggingsside på nettet som ikkje lastar medan DNS løyser rett, er vanlegvis ikkje eit DNS-problem. Viss tenesteloggen nemner ein tom sti til sertifikatpakken eller ein PEM-parsefeil for websertifikatet og den private nøkkelen, har HTTPS-lyttaren ingen nyttig materiale, og namneoppslag hjelper ikkje. Reparasjonen ligg i tre konfigurasjonsnøklar og krev ikkje at eitt einaste VPN-klient sertifikat vert gjeve ut på nytt.

Kva dei tre nøklane faktisk peikar på

Det eigendefinerte websertifikatsettet vert skrive av cs.cert, cs.priv_key og cs.ca_bundle. Kvar lagrar ein sti til ei fil, og wektenesta brukar alle tre saman. Eit sertifikat med feil nøkkel, eller ei kjeda fil som eigentleg er bladsertifikatet, feilar som ein tom verdi.

Desse nøklane høyrer til Admin- og Client-webgrensesnittet. Dei er skilde frå PKI-en som gjev sertifikat til VPN-klientar, så utskifting krev ikkje at klientprofilar, servernøkkelen eller sertifikatstyresmakta vert rørte. Å byggje heile PKI-en på nytt er den dyraste feilen her.

Ein skilnad sparar tid: ein uttrykkeleg tom eigendefinert verdi er ikkje same tilstand som inga overstyring i det heile. Den fyrste gjev parsaren ein tom sti, det er kva logglinja seier. Den andre lèt Access Server stå på sitt eige materiale.

Kvifor ei fil som finst likevel ikkje vert parsa

Parsaren les dei merkte blokkene i fila, ikkje filnamnet. Ein .crt med privat nøkkel, ei kjede skriven som éin samansett blokk, eller ei fil lagra med avkutta siste linje vert avvist. RFC 7468 definerer desse leselege etikettene fordi dei er det einaste som fortel lesaren kva objekttype som kjem.

Gransk objekta, ikkje filendane. På ein Linux-vert svarar openssl x509 -noout -subject -issuer -in server.pem og openssl pkey -noout -check -in key.pem på dei to viktige spørsmåla, og samanlikning av modulus eller offentleg nøkkel provar at dei høyrer saman. Hald utdata frå den private nøkkelen unna saker og chatloggar.

Ein tom sti fortener same mistanke som ei skadd fil, fordi båe gjev uklare feil lenger fram. Seier loggen at pakkestien er tom, les den lagra verdien før du feilsøkjer fila.

Gå medvite tilbake til reserve

CLI-en til Access Server har ein valideringskontroll som tek dei tre stiane som argument og melder om settet er brukbart. Stiane nedanfor er døme; byt dei ut med dei verna plasseringane på verten.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Les resultatet før du rører tenesta som køyrer, og importer deretter verdiane og bruk dei gjennom den dokumenterte operasjonen for den installerte versjonen. Den offisielle CLI-rettleidinga dekkjer validering, import og brukstrinnet, og versjonen tel meir enn noka oppsummering.

Stadfest namnet brukarane faktisk skriv

Når det eigendefinerte materialet er øydelagt og ein gyldig innebygd reserve framleis finst, er den dokumenterte attupprettinga å fjerne dei tre overstyringane og la Access Server bruke reserven. Sikre fyrst konsolltilgang og ein kopi av gjeldande konfigurasjon.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Å tømme heile konfigurasjonsdatabasen er ikkje ein sertifikatreparasjon. Retta deg mot dei tre nøklane, bruk dei og stadfest at webgrensesnittet svarar. Dei sjølvsignerte filene under web-ssl er reserveressursen, ikkje eit arbeidsområde.

Rekn med at nettlesaren viser eit anna sertifikat etter at reserven tek til. Det er rett resultat; stadfest det gjennom din betrudde administrative prosess.

Attupprettinga er først ferdig etter vellukka innlogging

Attupprettinga er ikkje ferdig når ein TCP-lyttar dukkar opp. Stadfest DNS-namnet, identiteten til sertifikatet og kjeda for det namnet, last så både Admin- og Client-grensesnittet og fullfør ei innlogging. Ein portkontroll provar ingen av desse.

Access Server 3.1 og nyare kan tena ulike websertifikat per SNI-vertnamn. Er det konfigurert, er standardnøklane og dei namnespesifikke oppføringane separate sett, og testing via IP-adresse viser lett eit anna sertifikat enn brukarane får. Reparer og stadfest settet for namnet som feila, og gjer innloggingstesten om att før du lukkar hendinga.

Relaterte artiklar