Access Server හි වෙබ් සහතික දෝෂය: හිස් CA බණ්ඩලය

DNS නිවැරදිව විසඳෙන අතරතුර පූරණය නොවන වෙබ් පිවිසුම් පිටුව සාමාන්‍යයෙන් DNS ගැටලුවක් නොවේ. සේවා ලොගයේ හිස් සහතික බණ්ඩල මාර්ගයක් හෝ වෙබ් සහතිකය සහ පුද්ගලික යතුර සඳහා PEM විග්‍රහ අසාර්ථකත්වයක් සඳහන් නම්, HTTPS ශ්‍රාවකයට භාවිත කළ හැකි ද්‍රව්‍ය නැති අතර නම් විසඳීම උදව් නොකරයි. අලුත්වැඩියාව රහස්‍ය සැකසුම් යතුරු තුනක ඇති අතර එකදු VPN සේවාලාභී සහතිකයක් නැවත නිකුත් කිරීම අවශ්‍ය නොවේ.

යතුරු තුන ඇත්තටම යොමු වන්නේ කුමකටද

අභිරුචි වෙබ් සහතික කට්ටලය cs.cert, cs.priv_key සහ cs.ca_bundle මගින් විස්තර වේ. එක් එකක් ගොනු මාර්ගයක් ගබඩා කරන අතර වෙබ් සේවාව තුනම එකට භාවිත කරයි. වැරදි යතුරක් සහිත සහතිකයක් හෝ ඇත්ත වශයෙන්ම පත්‍ර සහතිකය වන දාම ගොනුවක් හිස් අගයක් මෙන් අසාර්ථක වේ.

මෙම යතුරු Admin සහ Client වෙබ් අතුරුමුහුණතට අයත් වේ. ඒවා VPN සේවාලාභීන්ට සහතික නිකුත් කරන PKI එකෙන් වෙන් වේ, එබැවින් ප්‍රතිස්ථාපනයට පැතිකඩ, සේවාදායක යතුර හෝ සහතික අධිකාරිය ස්පර්ශ කිරීම අවශ්‍ය නොවේ. මුළු PKI එකම නැවත ගොඩනැගීම මෙහි වඩාත් මිල අධික වැරැද්දයි.

එක් වෙනසක් කාලය ඉතිරි කරයි: පැහැදිලිව හිස් අභිරුචි අගයක් කිසිදු අධික්‍රමණයක් නොමැති තත්ත්වයට සමාන නොවේ. පළමුවැන්න විග්‍රාහකයාට හිස් මාර්ගයක් දෙයි, ලොග පේළිය එයයි කියන්නේ. දෙවැන්න Access Server එක එහිම ද්‍රව්‍ය මත තබයි.

පවතින ගොනුව තවම විග්‍රහ නොවන්නේ ඇයි

විග්‍රාහකයා ගොනුවේ ඇති ලේබල් සහිත කොටස් කියවයි, ගොනු නාමය නොවේ. පුද්ගලික යතුරක් ඇති .crt, එක් කොටසක් ලෙස ලියූ දාමයක් හෝ අවසන් පේළිය කැපූ ගොනුවක් ප්‍රතික්ෂේප වේ. RFC 7468 එම ලේබල් නිර්වචනය කරන්නේ ඊළඟ වස්තු වර්ගය කියන එකම දේ ඒවා නිසාය.

වස්තූන් පරීක්ෂා කරන්න, දිගු කිරීම් නොවේ. Linux හි openssl x509 -noout -subject -issuer -in server.pem සහ openssl pkey -noout -check -in key.pem වැදගත් ප්‍රශ්න දෙකකට පිළිතුරු දෙන අතර දෙකෙහිම මොඩියුලස් හෝ පොදු යතුර සංසන්දනය කිරීම ඒවා එකට ගැලපෙන බව ඔප්පු කරයි. පුද්ගලික යතුරේ ප්‍රතිදානය ටිකට් සහ චැට් ලොගවලින් ඈත් කර තබන්න.

හිස් මාර්ගයක් බිඳුණු ගොනුවක් තරම්ම සැක සහිතය, දෙකම අපැහැදිලි පසු දෝෂ ලබා දෙන බැවිනි. ලොගය පවසන්නේ බණ්ඩල මාර්ගය හිස් බව නම්, ගොනුව නිරාකරණය කිරීමට පෙර ගබඩා කළ අගය කියවන්න.

හිතාමතාම උපස්ථයට ආපසු යන්න

Access Server හි CLI හි මාර්ග තුනක් තර්ක ලෙස ගෙන කට්ටලය භාවිත කළ හැකිද යන්න වාර්තා කරන පරීක්ෂාවක් ඇත. පහත මාර්ග උදාහරණ පමණි; ඒවා සත්කාරකයේ ආරක්ෂිත ස්ථාන සමඟ ප්‍රතිස්ථාපනය කරන්න.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

ක්‍රියාත්මක සේවාව ස්පර්ශ කිරීමට පෙර ප්‍රතිඵලය කියවන්න, පසුව අගයන් ආයාත කර ස්ථාපිත අනුවාදය සඳහා ලේඛනගත ක්‍රියාවලියෙන් යොදන්න. නිල CLI නිබන්ධනය තහවුරු කිරීම, ආයාතය සහ යෙදීමේ පියවර ආවරණය කරන අතර එහි අනුවාදය ඕනෑම සාරාංශයකට වඩා වැදගත්ය.

පරිශීලකයන් ඇත්තටම ටයිප් කරන නම තහවුරු කරන්න

අභිරුචි ද්‍රව්‍ය බිඳී ඇති අතර වලංගු ගොනුගත උපස්ථයක් තවම ඇත්නම්, ලේඛනගත ප්‍රතිසාධනය වන්නේ අධික්‍රමණ තුන ඉවත් කර Access Server එකට එම උපස්ථය භාවිත කිරීමට ඉඩ දීමයි. පළමුව console ප්‍රවේශය සහ වත්මන් වින්‍යාසයේ පිටපතක් සූදානම් කරන්න.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

මුළු වින්‍යාස දත්ත සමුදාය මැකීම සහතික අලුත්වැඩියාවක් නොවේ. එම යතුරු තුන ඉලක්ක කර, යොදා තහවුරු කරන්න වෙබ් අතුරුමුහුණත පිළිතුරු දෙන බව. web-ssl නාමාවලියේ ස්වයං-අත්සන් ගොනු උපස්ථ සම්පතකි, වැඩ අවකාශයක් නොවේ.

උපස්ථය බලයට පත් වූ පසු බ්‍රව්සරය වෙනත් සහතිකයක් පෙන්වනු ඇතැයි බලාපොරොත්තු වන්න. එය නිවැරදි ප්‍රතිඵලයයි; ඔබේ විශ්වාසදායක පරිපාලන ක්‍රියාවලියෙන් එය තහවුරු කරන්න.

සාර්ථක පිවිසුමකින් පසුව පමණක් ප්‍රතිසාධනය අවසන් වේ

TCP ශ්‍රාවකයක් දිස්වන විට ප්‍රතිසාධනය අවසන් නොවේ. DNS නාමය, සහතික අනන්‍යතාව සහ එම නාමයේ දාමය තහවුරු කර, පසුව Admin සහ Client අතුරුමුහුණත් දෙකම පූරණය කර පිවිසුම සම්පූර්ණ කරන්න. තොටු පරීක්ෂාව ඒ කිසිවක් ඔප්පු නොකරයි.

Access Server 3.1 සහ ඉන් පසු ඒවා එක් එක් SNI සත්කාරක නාමයට වෙනස් වෙබ් සහතික සැපයිය හැක. එසේ වින්‍යාස කර ඇත්නම්, පෙරනිමි යතුරු සහ නාම-විශේෂිත සටහන් වෙන වෙනම කට්ටල වන අතර IP ලිපිනයෙන් පරීක්ෂා කිරීම පරිශීලකයන්ට ලැබෙන එකට වඩා වෙනස් සහතිකයක් පෙන්විය හැක. අසාර්ථක වූ නාමයේ කට්ටලය අලුත්වැඩියා කර තහවුරු කර, සිද්ධිය වසා දැමීමට පෙර පිවිසුම් පරීක්ෂණය නැවත කරන්න.