Fornya VPN-sertifikat: nokre klientar avviser det framleis

Halve miljøet koplar til att etter fornyinga, og tre einingar avviser, kvar med ei åtvaring om identiteten til gatewayen. Sjølve fornyinga er rutine. Det desse tre einingane held på, er ei pinning til det gamle objektet, og pinning er ikkje ei CA-liste, ein namnekontroll eller ei oppføring i tillitslageret. Samanlikn dei tre mekanismane før du rører nokon klient.

Éi fornying, to åtferder

Klientane som koplar til att, har ei tillitsavgjerd som framleis går gjennom, og dei som avviser, har eit krav som det nye sertifikatet ikkje oppfyller. Den skilnaden er informasjon, ikkje støy. Les meldinga frå klienten som feilar, nøyaktig. Namneavvik, ukjend utferdar og endra fingeravtrykk er tre ulike avgjerder, og berre den siste peikar på ei pinning.

Sjekk òg kva profil klienten som feilar valde. Ein importert kopi som bur i sitt eige lager, endrar seg ikkje når administratoren redigerer originalfila ein annan stad.

Ei fornying erstattar objektet, ikkje berre datoen

Eit fingeravtrykk identifiserer det koda sertifikatinnhaldet. Fornyinga lagar eit nytt sertifikat, så fingeravtrykket endrar seg sjølv når subjektnamnet og den offentlege nøkkelen blir identiske. Det er venta og harmlaust for klientar som stolar på ein CA og stadfester namnet. Det er fatalt for ein klient som er sett opp til å godta nøyaktig eitt sertifikat, og det er òg fatalt for ein klient der tillitslageret aldri fekk den nye utferdaren.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Den andre linja svarar på eit anna spørsmål, om nøkkelparet overlevde. Ei fornying som brukar nøkkelen om att, held på den verdien og endrar berre sertifikatet, og det er nettopp tilfellet der administratoren blir freista til å tru at ingenting er endra. Inspiser sertifikatet som er utrulla, ikkje det på byggjeverten. Å samanlikne ei fil i eit repositorium provar kva som vart generert, ikkje kva ein lyttar presenterer akkurat no.

Les kva klienten pinnar

Nokre klientar held eit fingeravtrykk i profilen sin og samanliknar det ved kvar tilkopling. Andre lagrar det i eit tillitslager på plattforma, og andre att stolar berre på ein CA. Reparasjonen er ulik i kvart tilfelle, så identifiser mekanismen først.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Den første kommandoen viser ei pinning i ein vanleg profil; den andre viser fingeravtrykket endepunktet faktisk tener akkurat no. Når dei to er ulike, har du lokalisert feilen utan å gjette. Ikkje lim inn den nye verdien i kvar klient som klagar. Ein klient som avviser av utferdaromsyn, vil halde fram med å avvise, og du har lært deg sjølv at fingeravtrykket var problemet når det ikkje var det.

Samanlikn sertifikatet kvar backend tener

Avbrotne resultat tyder vanlegvis meir enn eitt endepunkt, og ei fornying som vart brukt på éin node, lèt dei andre presentere det gamle objektet. Samanlikn kvar backend etter adresse i staden for etter det felles namnet.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Ein pool der éin node ligg bak, forklarar ein klient som koplar til på andre forsøk og feilar på det første. Det forklarar òg ein overvakingssjekk som går gjennom medan brukarane klagar. Fiks etterslep først. Å rulle tillitskonfigurasjonen før kvar node tener det nye sertifikatet, skaper eit vindauge der ingenting verkar, og å rulle han etterpå lèt klientane feile uføreseieleg.

Endre tillit gjennom den styrte vegen

Stadfest erstatninga gjennom ein allereie betrodd administrativ kanal før du godtek ho nokon stad. Ein plausibel utløpsdato er ikkje prov på eigarskap. Oppdater den styrte konfigurasjonen gjennom prosessen som eig han, med eventuell planlagd overlapping av akseptable identitetar, og hald på namnestadfestinga utrullinga krev. Pinning utan namnekontroll er eit svakare design enn CA-tillita ho erstatta.

Stadfest deretter per klient, kople til, stadfest identiteten han godtok, og noter sertifikatversjonen han no stolar på. Ei åtvaring som er avvist éin gong, har ein tendens til å kome attande ved neste fornying.