Chyba webového certifikátu v Access Serveri: prázdny balík CA

Prázdna hodnota ca_bundle alebo poškodený PEM zastaví administračné rozhranie. Overte certifikát, kľúč a reťaz ako jeden súbor pred reštartom a PKI VPN nechajte na pokoji.

Prihlasovacia stránka, ktorá sa nenačíta, hoci sa DNS prekladá správne, zvyčajne nie je problém DNS. Ak záznam služby spomína prázdnu cestu balíka certifikátov alebo zlyhanie analýzy PEM pre webový certifikát a súkromný kľúč, HTTPS poslucháč nemá použiteľný materiál a preklad názvov nepomôže. Oprava je v troch konfiguračných kľúčoch a nevyžaduje opätovné vydanie ani jedného klientského certifikátu VPN.

Na čo tri kľúče skutočne ukazujú

Vlastná sada webových certifikátov sa opisuje kľúčmi cs.cert, cs.priv_key a cs.ca_bundle. Každý ukladá cestu k súboru a webová služba používa všetky tri spolu. Certifikát s nesprávnym kľúčom alebo súbor reťaze, ktorý je v skutočnosti koncovým certifikátom, zlyhá ako prázdna hodnota.

Tieto kľúče patria webovému rozhraniu Admin a Client. Sú oddelené od PKI, ktorá vydáva certifikáty klientom VPN, takže výmena nevyžaduje zásah do profilov, serverového kľúča ani certifikačnej autority. Prestavba celej PKI je tu najdrahšia chyba.

Jeden rozdiel šetrí čas: výslovne prázdna vlastná hodnota nie je rovnaký stav ako žiadne prepísanie. Prvá dáva parseru prázdnu cestu, a to hovorí riadok záznamu. Druhá necháva Access Server na vlastnom materiáli.

Prečo existujúci súbor stále neprejde analýzou

Parser číta označené bloky vnútri súboru, nie názov súboru. .crt obsahujúci súkromný kľúč, reťaz zapísaná ako jeden blok alebo súbor s odrezaným posledným riadkom sa odmietnu. RFC 7468 definuje tie čitateľné značky preto, lebo jedine ony hovoria, aký typ objektu nasleduje.

Skúmajte objekty, nie prípony. Na hostiteľovi Linux openssl x509 -noout -subject -issuer -in server.pem a openssl pkey -noout -check -in key.pem odpovedajú na dve dôležité otázky a porovnanie modulu alebo verejného kľúča dokazuje, že patria k sebe. Výstup súkromného kľúča držte mimo tiketov a chatových záznamov.

Prázdna cesta si zaslúži rovnakú nedôveru ako poškodený súbor, pretože obe dávajú nejasné neskoršie chyby. Ak záznam hovorí, že cesta balíka je prázdna, prečítajte uloženú hodnotu skôr, než začnete súbor ladeniť.

Overte sadu skôr, než čokoľvek reštartujete

CLI Access Servera má overenie, ktoré berie tri cesty ako argumenty a hlási, či je sada použiteľná. Cesty nižšie sú ilustratívne; nahraďte ich chránenými miestami na hostiteľovi.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Prečítajte výsledok skôr, než sa dotknete bežiacej služby, a až potom importujte hodnoty a použite ich dokumentovanou operáciou pre nainštalovanú verziu. oficiálny CLI tutoriál pokrýva overenie, import a krok použitia a jeho verzia je dôležitejšia než akékoľvek zhrnutie.

Vráťte sa zámerne k zálohe

Keď je vlastný materiál poškodený a platná vstavaná záloha stále existuje, dokumentovaná obnova je odstrániť tri prepísania a nechať Access Server použiť tú zálohu. Najprv zaistite konzolový prístup a kópiu aktuálnej konfigurácie.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Vymazanie celej konfiguračnej databázy nie je oprava certifikátu. Zacilte na tie tri kľúče, použite a potvrďte, že webové rozhranie odpovedá. Samopodpísané súbory v adresári web-ssl sú záložný zdroj, nie pracovný priestor.

Očakávajte, že prehliadač po uplatnení zálohy ukáže iný certifikát. To je správny výsledok; overte ho vo svojom dôveryhodnom administratívnom procese.

Overte meno, ktoré používatelia naozaj zadávajú

Obnova nie je hotová, keď sa objaví TCP poslucháč. Overte názov DNS, identitu certifikátu a reťaz pre ten názov, potom načítajte obe rozhrania Admin a Client a dokončite prihlásenie. Kontrola portu nič z toho nepreukáže.

Access Server 3.1 a novšie môžu obsluhovať rôzne webové certifikáty pre každé meno hostiteľa SNI. Ak je to nastavené, predvolené kľúče a položky pre konkrétne meno sú oddelené sady a testovanie podľa IP adresy ľahko ukáže iný certifikát, než dostávajú používatelia. Opravte a overte sadu pre zlyhávajúce meno a pred uzavretím incidentu zopakujte test prihlásenia.

Súvisiace články