SoftEther ServerCertSet: د نوي شوې زنځیر د vpncmd له لارې واردول

Certbot د بریالۍ نوي کېدنې راپور ورکوي، په ډیسک کې فایلونه نوي نېټې لري، او پیرودونکي لا هم زوړ هویت ګوري۔ SoftEther خپل SSL سرور سند په خپله د سرور کچې ترتیب کې ساتي، نو په ډیسک کې نوی فایل تر هغه څه نه بدلوي چې پاڼه او د هغې کیلي وارد شي۔ لاندې ترتیب یو لاسي واردات، هغه پوښ چې له هر نوي کېدنې وروسته ځي، او یوه پلټنه رانغاړي چې لوستل کوي اورېدونکی په رښتیا څه وړاندې کوي۔ هر ګام داسې شواهد پرېږدي چې له بل نوي کېدنې وروسته یې پرتله کولی شئ۔

نوی شوی فایل د سرور هویت نه بدلوي

صادرول او ځای پرځای کول جلا پېښې دي چې د ناکامۍ جلا لارې لري۔ ACME پیرودونکی فایلونه په یوه نسب لارښود کې لیکي او بریا ثبتوي؛ SoftEther بیا هغه سند کاروي چې په خپل ترتیب کې وروستی ځل بار شوی وي۔ نو د صفر وتلو حالت فایلونه بیانوي، نه خدمت، او تر هغه چې څوک نه ګوري دا دواړه جلا پاتې کېدای شي۔ واردات د ځای پرځای کولو ګام او نوی کېدنه د هغې د ننوتلو په توګه وګڼئ۔

دا توپیر هغه ګډوډونکی نیمګړی ناکامي هم روښانه کوي: زوړ سند تر خپلې پای نېټې کار کوي، نو په پیل کې هېڅ مات نه ښکاري۔ کله چې پای ته ورسېږي، ټول پیرودونکي یو ځل ناکامېږي، کوم چې د پرېښودل شوي ځای پرځای کولو ګام پر ځای د خنډ په څېر ښکاري۔ له هر نوي کېدنې وروسته د وړاندې شوي هویت پلټنه هغه حیرانتیا عادي کتنه جوړوي۔

د اورېدونکي سره سمه ننګونه وټاکئ

سند باید هغه کوربه ونوموي چې پیرودونکي یې تصدیق کوي، نو د کورني لیبل یا پتې پر ځای عامه DNS نوم وکاروئ۔ HTTP-01 غواړي چې ننګونې ته یو شېبه په 80 پورټ کې ځواب ووایې، دا یو لنډمهاله اورېدونکی دی او هېڅکله د SoftEther خپل پورټ لېږدولو لامل نه دی۔ DNS-01 د یوې ثبتې له لارې کنټرول ثابتوي او اصلاً داخلي HTTP ته اړتیا نه لري۔

بې څارنې نوی کېدنه یعنې یوې سیمې ته محدودو اعتبارنامو سره اتومات DNS یوځای کول، نه هغه TXT ثبت چې هر دوو میاشتو کې لاسي ټایپ شي۔ وایلډکارډ د ننګونې ډول بدلوي، نه د هغې اتومات کېدنې اړتیا۔ دا پرېکړه د لومړي سند له جوړېدو مخکې وکړئ، ځکه چې وروسته د ننګونې ډول بدلول یعنې د پیرودونکي ترتیب او فایر وال یو ځای لمسول۔

تر دې چې دلته یاست artefacts ترتیب ساتئ۔ پاڼه او منځني سندونه د جلا فایلونو او د یو ګډ زنځیر فایل په بڼه راځي، شخصي کیلي بیا جلا ده، او وارداتو ته د هغې سره سمه کیلي لرونکی زنځیر غواړي، نه یوازې عامه سند۔

زنځیر د سرور کچه وارد کړئ

له سند لمسولو مخکې د سرور ترتیب بیک اپ واخلئ او ډاډه شئ چې لا هم د مدیریت انټرفیس ته رسېږئ۔ د Virtual Hub مدیر په توګه نه، بلکې د سرور مدیر په توګه ونښلئ، ځکه چې سند د سرور شي پورې اړه لري۔ بیا زنځیر او کیلي په مطلق لاره بار کړئ، له هغو فایلونو چې د کمانډ چلوونکی حساب یې لوستلی شي۔ په یاد ولرئ چې لارې مطلقې دي ځکه کمانډ هغه د vpncmd چلوونکې پروسې د کاري لارښود څخه حل کوي:

ServerCertSet /LOADCERT:/etc/letsencrypt/live/vpn.example.com/fullchain.pem /LOADKEY:/etc/letsencrypt/live/vpn.example.com/privkey.pem

د بریا انګېرنې پر ځای د کمانډ وتنه ولولئ، او بیا د هغه فایل باور پر ځای چې تاسو ورکړی زنځیر بیا ولولئ۔ د بشپړ PEM بنډل واردوونکو جوړښتونو او یوازې لومړی سند اخیستونکو جوړښتونو ترمنځ پوله په یوه ځای کې نه ده مستنده، نو ستاسو مخې ته د جوړښت لپاره پلټنه پرېکړه کوي۔ هغه سندونه وشمېرئ چې اورېدونکی وړاندې کوي؛ بې منځنيو پاڼه یوازې لومړی بلاک کاروونکي واردوونکي لاسلیک دی۔

وارد شوې کیلي یوازې د سرور چلوونکي حساب لپاره لوستلو وړ وساتئ، او د مدیریت پټنوم د shell تاریخ څخه بهر وساتئ۔ په دې لومړي واردات کې پټنوم د کمانډ دلیل په توګه ورکولو پر ځای په غوښتنه کې ولیکئ۔ دا دوه عادتونه هېڅ لګښت نه لري او هغه تر ټولو عامه لاره لرې کوي چې د سند ځای پرځای کول هغه څه افشا کوي چې باید یې ساتنه وکړي۔ دا له لومړي واردات مخکې وکړئ، وروسته نه۔

ځای پرځای کول وتړئ، نوی کېدنه نه

کله چې لاسي واردات کار وکړ، هماغه ګامونه په کوچني پوښ کې کېږدئ او له بریالۍ نوي کېدنې وروسته یې د ACME پیرودونکي څخه وبلئ۔ Certbot د هنګ لپاره RENEWED_LINEAGE او RENEWED_DOMAINS ټاکي، نو پوښ په هغه ماشین کې چې څو سندونه مدیریت کوي یوازې یو سند باندې عمل کولی شي۔ په کوربه باندې هر نوي کېدنې ته د غبرګون پر ځای د نسب له مخې فلټر کړئ۔ پوښ د ځای پرځای کولو کوډ دی چې د سرور واکونو سره ځي، نو هغه دې دې ځای کې د هر بل سکریپټ په څېر بیاکتنه کړئ۔

certbot renew --deploy-hook /usr/local/sbin/softether-deploy.sh

بې څارنې ځېدونکي هنګ خپل خوندي اعتبارنامې زېرمه او انسان ته رسېدونکی د ناکامۍ سیګنال ته اړتیا لري۔ که صادرول بریالي شي او واردات ناکام شي، د بل سند غوښتنې پر ځای واردات بیا هڅه کړئ، ځکه چې دوهمه غوښتنه د ځای پرځای کولو نیمګړتیا د نوي فایل تر شا پټوي۔ د Certbot د نوي کېدنې اسناد روښانه وایي چې هغه چلېدنه چې هېڅ نه تازه کوي نورماله پایله ده، نو هنګ هغه شی دی چې دواړه توپیروي۔

وړاندې شوې زنځیر د فایل سره پرتله کړئ

ډیسک نه، اورېدونکی ولولئ۔ د هغه سرور نوم سره چې پیرودونکي یې کاروي پیرودونکو ته مخامخ پورټ ته ونښلئ، بیا ګوته نښه او رسول شوې زنځیر د هغه نسب سره پرتله کړئ چې هنګ نصب کړی۔ دوه کمانډونه دا پوښي، او لومړی یې ښیي چې منځني سندونه اصلاً راځي که نه:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | grep -c 'BEGIN CERTIFICATE'
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -fingerprint -sha256

بیا نوی پیرودونکی اړیکه جوړه کړئ، ځکه چې له وارداتو مخکې جوړې شوې ناستې د پخواني هویت پر وړاندې تصدیق شوې وې او د نوي په اړه هېڅ نه ثابتوي۔ که پیرودونکي زړه پاڼه پین کوي، نو د عامه زنځیر د اعتبار سره سره همغږي شوې تازه کېدنې ته اړتیا لري، او هغه کار د نوي کېدنې ورته runbook پورې اړه لري۔ د خدمت مخې ته پروکسي کولی شي ښه سند وړاندې کړي پداسې حال کې چې VPN اورېدونکی لا هم زوړ لري، او له همدې امله پلټنه باید هغه پورټ ونوموي چې پیرودونکي واقعاً ورته رسېږي۔ ګوته نښه د نوي کېدنې نېټې ترڅنګ ولیکئ، تر څو بله پرتله یوې پلټنې وي نه د یاد یو عمل۔