Client VPN ਸਰਟੀਫਿਕੇਟ ਦੁਬਾਰਾ ਆਯਾਤ ਕਰਨ ਲਈ ਨਵੇਂ ਐਂਡਪੌਇੰਟ ਦੀ ਲੋੜ ਕਿਉਂ ਹੈ

Client VPN ਕਨੈਕਸ਼ਨ ਟੁੱਟ ਜਾਂਦਾ ਹੈ, ACM ਵਿੱਚ ਸਰਟੀਫਿਕੇਟ ਬਦਲ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਕੁਝ ਨਹੀਂ ਬਦਲਦਾ। ਸਰਟੀਫਿਕੇਟ ਆਬਜੈਕਟ ਉਹ ਚੀਜ਼ ਕਦੇ ਨਹੀਂ ਸੀ ਜੋ ਐਂਡਪੌਇੰਟ ਵਰਤ ਰਿਹਾ ਸੀ। ਐਂਡਪੌਇੰਟ ਬਣਨ ਸਮੇਂ ਸਰਟੀਫਿਕੇਟ ਨਾਲ ਸਬੰਧ ਸੰਭਾਲਦਾ ਹੈ, ਨਾਲ ਹੀ ਉਹ ਕਲਾਇੰਟ CA ਜਿਸਦੇ ਵਿਰੁੱਧ ਇਹ ਪ੍ਰਮਾਣਿਤ ਕਰੇਗਾ, ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਕਿਸਮ, ਸਬਨੈੱਟ ਅਤੇ ਅਧਿਕਾਰ ਨਿਯਮ, ਅਤੇ ਇਹਨਾਂ ਸਬੰਧਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ਵਿੱਚ ਵੀ ਬਦਲਵਾਂ ਸਰਟੀਫਿਕੇਟ ਸਵੀਕਾਰ ਕਰਨ ਵਾਲਾ ਬਦਲਾਅ ਕਾਲ ਨਹੀਂ ਹੈ। ARN ਪਿੱਛੇ ਦੇ ਬਾਈਟ ਬਦਲਣਾ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਬਦਲਾਅ ਹੈ, ਇਸਨੂੰ ਫੜਨ ਵਾਲੇ ਐਂਡਪੌਇੰਟ ਵਿੱਚ ਨਹੀਂ।

ਐਂਡਪੌਇੰਟ ਸਰਟੀਫਿਕੇਟ ਨਹੀਂ, ਹਵਾਲੇ ਸੰਭਾਲਦਾ ਹੈ

ਇਹ ਵਿਧੀ ਨੂੰ ਸਹੀ ਢੰਗ ਨਾਲ ਕਹਿਣਾ ਯੋਗ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਪੂਰੀ ਅਸਫਲਤਾ ਦੀ ਵਿਆਖਿਆ ਕਰਦੀ ਹੈ। create-client-vpn-endpoint ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਦਾ ARN ਅਤੇ ਕਲਾਇੰਟ ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਚੇਨ ਦਾ ARN ਲੈਂਦਾ ਹੈ, ਅਤੇ ਨਤੀਜੇ ਵਜੋਂ ਬਣਨ ਵਾਲਾ ਐਂਡਪੌਇੰਟ ਉਹ ਹਵਾਲੇ ਪ੍ਰਮਾਣਿਕਤਾ ਵਿਕਲਪਾਂ ਨਾਲ ਸਥਿਰ ਗੁਣਾਂ ਵਜੋਂ ਰੱਖਦਾ ਹੈ। API ਮੌਜੂਦਾ ਐਂਡਪੌਇੰਟ ਉੱਤੇ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਬਦਲਣ ਵਾਲਾ ਕੋਈ ਓਪਰੇਸ਼ਨ ਨਹੀਂ ਦਿੰਦਾ।

ਅੰਦਾਜ਼ਾ ਲਾਏ ਬਿਨਾਂ ਤੁਸੀਂ ਜੋੜ ਦੀ ਪੁਸ਼ਟੀ ਕਰ ਸਕਦੇ ਹੋ। aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 ਸਰਟੀਫਿਕੇਟ ਦਾ ARN, ਕਲਾਇੰਟ ਰੂਟ ਚੇਨ ਦਾ ARN, ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਕਿਸਮ, ਕਲਾਇੰਟ CIDR ਅਤੇ ਸੰਬੰਧਿਤ ਸਬਨੈੱਟ ਪ੍ਰਿੰਟ ਕਰਦਾ ਹੈ, ਜੋ ਤੁਹਾਨੂੰ ਦੁਬਾਰਾ ਬਣਾਉਣੇ ਪੈਣ ਵਾਲੇ ਗੁਣਾਂ ਦਾ ਪੂਰਾ ਸੈੱਟ ਹੈ। ਇਸਨੂੰ ਦੁਬਾਰਾ ਆਯਾਤ ਤੋਂ ਪਹਿਲਾਂ ਅਤੇ ਬਾਅਦ ਚਲਾਓ, ਆਉਟਪੁੱਟ ਹਿਲੇਗਾ ਨਹੀਂ। ਇਹੀ ਸਬੂਤ ਹੈ ਕਿ ਦੁਬਾਰਾ ਆਯਾਤ ਕਦੇ ਮਦਦ ਨਹੀਂ ਕਰਦਾ।

ਦੁਬਾਰਾ ਆਯਾਤ ਐਂਡਪੌਇੰਟ ਤੱਕ ਕਿਉਂ ਨਹੀਂ ਪਹੁੰਚ ਸਕਦਾ

ਦੁਬਾਰਾ ਆਯਾਤ ਮੌਜੂਦਾ ARN ਹੇਠ ਨਵਾਂ ਸਰਟੀਫਿਕੇਟ ਬਾਡੀ ਲਿਖਦਾ ਹੈ। ਸਰਟੀਫਿਕੇਟ ਦੀ ਮਿਆਦ ਖਤਮ ਹੋਣ ਨੇੜੇ ਹੋਣ ਵੇਲੇ ਇਹ ਵੈਧ ਓਪਰੇਸ਼ਨ ਹੈ, ਅਤੇ ACM ਇਸਨੂੰ ਸਵੀਕਾਰ ਕਰੇਗਾ ਜੇ ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ ਮਿਲਦੀ ਹੈ ਅਤੇ ਚੇਨ ਪ੍ਰਮਾਣਿਤ ਹੁੰਦੀ ਹੈ। ਜੋ ਇਹ ਨਹੀਂ ਕਰਦਾ ਉਹ ਹੈ ਐਂਡਪੌਇੰਟ ਦੇ ਬਣਨ ਸਮੇਂ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਦੁਬਾਰਾ ਚਲਾਉਣਾ, ਇਸ ਲਈ ਸਬੰਧ ਅਤੇ ਇਸ ਪਿੱਛੇ ਦੀ ਸਮੱਗਰੀ ਐਂਡਪੌਇੰਟ ਬਣਨ ਸਮੇਂ ਵਰਗੀ ਹੀ ਰਹਿੰਦੀ ਹੈ।

ਇਸੇ ਲਈ ਲੱਛਣ ਨੈੱਟਵਰਕ ਖਰਾਬੀ ਵਾਂਗ ਸੁਣਾਈ ਦਿੰਦਾ ਹੈ। ਅਧਿਕਾਰ ਦਾ ਮੁਲਾਂਕਣ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਹੀ TLS ਹੈਂਡਸ਼ੇਕ ਫੇਲ ਹੁੰਦਾ ਹੈ ਜਾਂ ਰੀਸੈਟ ਹੁੰਦਾ ਹੈ, ਇਸ ਲਈ ਸੁਰੱਖਿਆ ਸਮੂਹ, ਰੂਟ ਅਤੇ ਅਧਿਕਾਰ ਨਿਯਮ ਸਾਰੇ ਨਿਰਦੋਸ਼ ਦਿਖਦੇ ਹਨ, ਅਤੇ ਉਹ ਨਿਰਦੋਸ਼ ਹਨ।

ਚੇਨ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਦਾ ਹਿੱਸਾ ਹੈ

ਅਸਫਲਤਾ ਦਾ ਦੂਜਾ ਅੱਧਾ ਹਿੱਸਾ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਹੈ, ਅਤੇ ਇਸਨੂੰ ਪਾਸੇ ਰੱਖਣਾ ਸੌਖਾ ਹੈ। ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਉਸ ਚੇਨ ਨਾਲ ਆਯਾਤ ਕਰਨਾ ਲਾਜ਼ਮੀ ਹੈ ਜਿਸਨੇ ਇਸਨੂੰ ਜਾਰੀ ਕੀਤਾ, ਭਾਵੇਂ ਆਯਾਤ ਫਾਰਮ ਉਸ ਖੇਤਰ ਨੂੰ ਚੋਣਵਾਂ ਦਿਖਾਉਂਦਾ ਹੈ। ਚੇਨ ਤੋਂ ਬਿਨਾਂ ਐਂਡਪੌਇੰਟ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਤੋਂ ਉਸ ਕਲਾਇੰਟ ਰੂਟ CA ਤੱਕ ਰਾਹ ਨਹੀਂ ਬਣਾ ਸਕਦਾ ਜਿਸ ਨਾਲ ਇਹ ਸੰਰਚਿਤ ਸੀ, ਅਤੇ ਕਨੈਕਸ਼ਨ ਪੈਕਟ ਸੁੱਟਣ ਵਾਲੇ ਫਾਇਰਵਾਲ ਵਾਂਗ ਸੁਣਾਈ ਦੇਣ ਵਾਲੇ ਨਰਮ ਰੀਸੈਟ ਵਿੱਚ ਖਤਮ ਹੁੰਦਾ ਹੈ। openssl verify -CAfile root-ca.pem client.crt ਉਸ ਸਵਾਲ ਦਾ ਜਵਾਬ ਸਥਾਨਕ ਤੌਰ ਉੱਤੇ ਇੱਕ ਸਕਿੰਟ ਵਿੱਚ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਤੁਹਾਨੂੰ ਚਲਾਉਣ ਵਾਲਾ ਪਹਿਲਾ ਕਮਾਂਡ ਉਹੀ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ।

ਚੇਨ ਨਾਲ ਦੁਬਾਰਾ ਆਯਾਤ ਉਸ ਅੱਧੇ ਲਈ ਸੱਚੀ ਸੁਧਾਰ ਹੈ, ਅਤੇ ਫਿਰ ਵੀ ਇਹ ਇਕੱਲਾ ਕਾਫੀ ਨਹੀਂ। ACM ਆਬਜੈਕਟ ਬਦਲਣ ਤੋਂ ਬਾਅਦ ਪੁਰਾਣਾ ਸਬੰਧ ਰੱਖਣ ਵਾਲਾ ਐਂਡਪੌਇੰਟ ਟੈਸਟ ਜਾਰੀ ਰੱਖਣ ਲਈ ਗਲਤ ਚੀਜ਼ ਹੈ। ਦੋਵੇਂ ਕਦਮ ਇੱਕੋ ਮੁਰੰਮਤ ਦੇ ਹਨ, ਇਸ ਲਈ ਦੋ-ਹਿੱਸਿਆਂ ਵਾਲਾ ਸੁਧਾਰ ਵਿਰੋਧਾਭਾਸ ਨਹੀਂ।

ਐਂਡਪੌਇੰਟ ਦੁਬਾਰਾ ਬਣਾਉਣਾ ਇੱਕ ਮਾਈਗ੍ਰੇਸ਼ਨ ਹੈ

ਬਦਲਵਾਂ ਐਂਡਪੌਇੰਟ ਬਣਾਉਣਾ ਮਾਈਗ੍ਰੇਸ਼ਨ ਹੈ, ਦੁਬਾਰਾ ਕੋਸ਼ਿਸ਼ ਨਹੀਂ, ਅਤੇ ਇਸਨੂੰ ਦੁਬਾਰਾ ਕੋਸ਼ਿਸ਼ ਮੰਨਣਾ ਹੀ ਉਹ ਰਾਹ ਹੈ ਜਿਸ ਨਾਲ ਟੀਮਾਂ ਅੱਧੇ ਸੰਰਚਿਤ ਦੋ ਐਂਡਪੌਇੰਟਾਂ ਉੱਤੇ ਪਹੁੰਚਦੀਆਂ ਹਨ। ਨਵੇਂ ਐਂਡਪੌਇੰਟ ਨੂੰ ਨਵਾਂ ID ਮਿਲਦਾ ਹੈ ਅਤੇ, ਜੇ ਤੁਸੀਂ ਯੋਜਨਾ ਨਹੀਂ ਬਣਾਈ, ਹਰ ਵਰਤੋਂਕਾਰ ਲਈ ਨਵਾਂ DNS ਨਾਮ ਮਿਲਦਾ ਹੈ। ਕਲਾਇੰਟ ਪ੍ਰੋਫਾਈਲ ਨੂੰ ਪਤੇ ਵੱਲ ਨਹੀਂ, ਨਾਮ ਵੱਲ ਰੱਖੋ, ਤਾਂ ਜੋ ਬਦਲੀ ਮੁੜ-ਵੰਡ ਨਹੀਂ, ਰਿਕਾਰਡ ਬਦਲਾਅ ਬਣੇ।

ਇਸਨੂੰ ਸੁਰੱਖਿਅਤ ਰੱਖਣ ਵਾਲਾ ਕ੍ਰਮ ਛੋਟਾ ਹੈ: ਉਹੀ CIDR, ਸਬਨੈੱਟ ਅਤੇ ਅਧਿਕਾਰ ਨਿਯਮਾਂ ਨਾਲ ਨਵਾਂ ਐਂਡਪੌਇੰਟ ਬਣਾਓ, aws ec2 export-client-vpn-client-configuration ਨਾਲ ਤਾਜ਼ਾ ਪ੍ਰੋਫਾਈਲ ਨਿਰਯਾਤ ਕਰੋ, ਅਤੇ ਇੱਕ ਵਰਤੋਂਕਾਰ ਨਾਲ ਪ੍ਰਮਾਣਿਤ ਕਰੋ। ਇਸ ਤੋਂ ਬਾਅਦ ਹੀ ਪੁਰਾਣਾ ਐਂਡਪੌਇੰਟ ਹੇਠਾਂ ਆਉਂਦਾ ਹੈ।

ਪੁਰਾਣੇ ਐਂਡਪੌਇੰਟ ਨੂੰ ਸੇਵਾ ਤੋਂ ਹਟਾਉਣ ਦਾ ਆਪਣਾ ਕ੍ਰਮ ਹੈ। ਹਟਾਉਣ ਤੋਂ ਪਹਿਲਾਂ ਉਹ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਰੱਦ ਕਰੋ ਜੋ ਤੁਸੀਂ ਹਟਾਉਣੇ ਸਨ, ਕਿਉਂਕਿ ਪੁਰਾਣੀ CA ਉੱਤੇ ਅਜੇ ਵੀ ਭਰੋਸਾ ਕਰਨ ਵਾਲਾ ਨਵਾਂ ਐਂਡਪੌਇੰਟ ਉਹ ਸਰਟੀਫਿਕੇਟ ਸਵੀਕਾਰ ਕਰਦਾ ਰਹਿੰਦਾ ਹੈ ਜੋ ਤੁਸੀਂ ਗਏ ਮੰਨੇ ਸਨ। ਫਿਰ ਪੁਰਾਣਾ ਐਂਡਪੌਇੰਟ ਹਟਾਓ ਅਤੇ ਉਸਦੇ ਅਧਿਕਾਰ ਨਿਯਮ ਹਟਾਓ, ਤਾਂ ਜੋ ਪੁਰਾਣੀ ਪ੍ਰੋਫਾਈਲ ਤੁਸੀਂ ਬੰਦ ਮੰਨੇ ਟੀਚਾ ਨੈੱਟਵਰਕ ਨਾਲ ਦੁਬਾਰਾ ਨਾ ਜੁੜ ਸਕੇ। ਪੁਰਾਣੇ ਐਂਡਪੌਇੰਟ ਦਾ ID ਅਤੇ ਸਬੰਧ ਪਛਾਣਕਰਤਾ ਬਦਲਾਅ ਰਿਕਾਰਡ ਵਿੱਚ ਲਿਖੋ, ਕਿਉਂਕਿ ਯਾਦ ਨਾਲ ਤੁਲਨਾ ਕੀਤਾ ਮਾਈਗ੍ਰੇਸ਼ਨ ਹੀ ਕੰਮ ਕਰਨ ਵਾਲੇ ਐਂਡਪੌਇੰਟ ਨੂੰ ਦੋ ਵਾਰ ਦੁਬਾਰਾ ਬਣਾਉਣ ਦਾ ਰਾਹ ਹੈ।

ਨਿਦਾਨ ਦਾ ਕ੍ਰਮ ਲਗਾਓ

ਕੋਈ ਵੀ ਸੰਰਚਨਾ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਤਿੰਨ ਅਸਫਲਤਾਵਾਂ ਵੱਖ ਕਰੋ। ਕਲਾਇੰਟ TLS ਪੂਰਾ ਨਹੀਂ ਕਰ ਸਕਦਾ, ਕਲਾਇੰਟ TLS ਪੂਰਾ ਕਰਦਾ ਹੈ ਪਰ ਅਧਿਕ੍ਰਿਤ ਨਹੀਂ, ਜਾਂ ਕਲਾਇੰਟ ਜੁੜਦਾ ਹੈ ਪਰ ਮੰਜ਼ਿਲ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚਦਾ। ਸਰਟੀਫਿਕੇਟ ਦਾ ਸਬੰਧ ਪਹਿਲੀ ਨਾਲ ਹੈ, ਕਲਾਇੰਟ ਪਤਾ ਨਾ ਢਕਣ ਵਾਲਾ ਅਧਿਕਾਰ ਨਿਯਮ ਦੂਜੀ ਨਾਲ, ਅਤੇ ਰੂਟ ਜਾਂ ਸੁਰੱਖਿਆ ਸਮੂਹ ਤੀਜੀ ਨਾਲ, ਜਿੱਥੇ ਐਂਡਪੌਇੰਟ ਦੁਬਾਰਾ ਬਣਾਉਣਾ ਲਗਭਗ ਹਮੇਸ਼ਾ ਗਲਤ ਕਦਮ ਹੈ।

ਮਹੀਨਿਆਂ ਤੱਕ ਕੰਮ ਕਰਕੇ ਫਿਰ ਸਰਟੀਫਿਕੇਟ ਜਾਂ ਨੀਤੀ ਬਦਲਾਅ ਬਿਨਾਂ ਰੁਕਿਆ ਐਂਡਪੌਇੰਟ ਵੱਖਰਾ ਕੇਸ ਹੈ। ਉਹੀ ਸੈਟਿੰਗਾਂ ਨਾਲ ਦੁਬਾਰਾ ਬਣਾਉਣਾ ਸੇਵਾ ਵਾਪਸ ਲਿਆ ਸਕਦਾ ਹੈ, ਪਰ ਇਹ ਸੰਰਚਨਾ ਨੂੰ ਦੁਬਾਰਾ-ਉਤਪਾਦਨਯੋਗ ਰੱਖਣ ਦਾ ਕਾਰਨ ਹੈ, ਹਰ ਘਟਨਾ ਉੱਤੇ ਦੁਬਾਰਾ ਬਣਾਉਣ ਦਾ ਕਾਰਨ ਨਹੀਂ।

ਅਗਲੀ ਮੁੜ-ਉਸਾਰੀ ਤੁਰੰਤ ਉਪਾਅ ਨਹੀਂ, diff ਬਣੇ ਇਸ ਲਈ ਚਾਰ ਚੀਜ਼ਾਂ ਸੰਸਕਰਣ ਨਿਯੰਤਰਣ ਵਿੱਚ ਰੱਖੋ: ਐਂਡਪੌਇੰਟ ਪੈਰਾਮੀਟਰ, ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਚੇਨ ਦੇ ARN, ਅਧਿਕਾਰ ਨਿਯਮ ਅਤੇ ਕਲਾਇੰਟ CIDR। Client VPN ਪ੍ਰਮਾਣਿਕਤਾ ਦਸਤਾਵੇਜ਼ ਦੱਸਦਾ ਹੈ ਕਿ ਕਿਹੜਾ ਸਰਟੀਫਿਕੇਟ ਕਿਹੜੀ ਭੂਮਿਕਾ ਨਿਭਾਉਂਦਾ ਹੈ, ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਹੀ ਸਮੱਸਿਆ ਮੰਨਣ ਤੋਂ ਪਹਿਲਾਂ ਇਹ ਜਾਂਚਣਾ ਯੋਗ ਹੈ। ਜੇ ਦੁਬਾਰਾ ਆਯਾਤ ਕੁਝ ਨਹੀਂ ਬਦਲਦਾ ਅਤੇ ਐਂਡਪੌਇੰਟ ਅਜੇ ਵੀ ਰੀਸੈਟ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਸਬੰਧ ਹੀ ਸ਼ੱਕੀ ਹੈ ਅਤੇ ਜਵਾਬ ਰਿਕਾਰਡ ਕੀਤੇ ਪੈਰਾਮੀਟਰਾਂ ਤੋਂ ਬਣਾਇਆ ਨਵਾਂ ਐਂਡਪੌਇੰਟ ਹੈ। ਜੇ ਐਂਡਪੌਇੰਟ ਸੱਚਮੁੱਚ ਨਵਾਂ ਆਬਜੈਕਟ ਲੈਂਦਾ ਹੈ, ਤਾਂ ਸਬੰਧ ਪਹਿਲਾਂ ਹੀ ਸਹੀ ਸੀ ਅਤੇ ਗੜਬੜ ਕਲਾਇੰਟ ਚੇਨ ਜਾਂ ਅਧਿਕਾਰ ਪਰਤ ਵਿੱਚ ਹੈ।