Obnovený certifikát VPN: niektorí klienti ho stále odmietajú

Polovica prostredia sa po obnove znova pripojí a tri zariadenia odmietajú, každé s upozornením na identitu brány. Samotná obnova je rutina. To, čo tieto tri zariadenia držia, je pripnutie na starý objekt, a pripnutie nie je zoznam CA, kontrola názvu ani záznam v úložisku dôvery. Porovnajte tri mechanizmy, skôr než sa dotknete ktoréhokoľvek klienta.

Jedna obnova, dve správania

Klienti, ktorí sa znova pripájajú, majú rozhodnutie o dôvere, ktoré ešte prechádza, a tí, čo odmietajú, majú požiadavku, ktorú nový certifikát nespĺňa. Ten rozdiel je informácia, nie šum. Prečítajte si správu zlyhávajúceho klienta presne. Nezhoda názvu, neznámy vydavateľ a zmenený odtlačok sú tri rôzne verdikty, a iba posledný ukazuje na pripnutie.

Skontrolujte aj, ktorý profil zlyhávajúci klient vybral. Importovaná kópia, ktorá žije vo vlastnom úložisku, sa nemení, keď administrátor upraví pôvodný súbor inde.

Obnova nahrádza objekt, nielen dátum

Odtlačok identifikuje zakódovaný obsah certifikátu. Obnova vytvára nový certifikát, takže odtlačok sa zmení aj vtedy, keď názov subjektu a verejný kľúč zostanú rovnaké. Je to očakávané a neškodné pre klientov, ktorí dôverujú CA a overujú názov. Je to fatálne pre klienta nastaveného prijať presne jeden certifikát, a je to fatálne aj pre klienta, ktorého úložisko dôvery nikdy nedostalo nového vydavateľa.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Druhý riadok odpovedá na inú otázku, či pár kľúčov prežil. Obnova, ktorá znova použije kľúč, zachová tú hodnotu a zmení iba certifikát, a to je presne prípad, keď má administrátor sklon predpokladať, že sa nič nezmenilo. Skontrolujte nasadený certifikát, nie ten na buildovom hostiteľovi. Porovnanie súboru v repozitári dokazuje, čo sa vygenerovalo, nie to, čo práve teraz predstavuje poslucháč.

Prečítajte si, čo klient pripína

Niektorí klienti držia odtlačok vo svojom profile a porovnávajú ho pri každom pripojení. Iní ho ukladajú v úložisku dôvery platformy, a ďalší sa spoliehajú iba na CA. Oprava sa v každom prípade líši, preto najprv identifikujte mechanizmus.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Prvý príkaz ukazuje pripnutie v bežnom profile; druhý ukazuje odtlačok, ktorý koncový bod práve teraz skutočne poskytuje. Keď sa tieto dva líšia, lokalizovali ste poruchu bez hádania. Nevkladajte novú hodnotu do každého klienta, ktorý sa sťažuje. Klient, ktorý odmieta z dôvodu vydavateľa, bude odmietať ďalej, a vy sa presvedčíte, že problémom bol odtlačok, keď ním nebol.

Porovnajte certifikát, ktorý poskytuje každý backend

Prerušované výsledky zvyčajne znamenajú viac než jeden koncový bod, a obnova aplikovaná na jednom uzle necháva ostatné predstavovať starý objekt. Porovnajte každý backend podľa adresy, nie podľa spoločného názvu.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Pula, v ktorej jeden uzol zaostáva, vysvetľuje klienta, ktorý sa pripojí na druhý pokus a zlyhá na prvý. Vysvetľuje aj kontrolu monitorovania, ktorá prejde, kým si používatelia sťažujú. Najprv opravte zaostávanie. Zavádzanie konfigurácie dôvery predtým, než každý uzol poskytne nový certifikát, vytvára okno, v ktorom nič nefunguje, a zavedenie po ňom necháva klientov zlyhávať nepredvídateľne.

Meňte dôveru spravovanou cestou

Potvrďte výmenu cez už dôveryhodný administratívny kanál, skôr než ju kdekoľvek prijmete. Vierohodný dátum expirácie nie je dôkazom vlastníctva. Aktualizujte spravovanú konfiguráciu prostredníctvom procesu, ktorý ju vlastní, s akýmkoľvek plánovaným prekrytím prijateľných identít, a zachovajte overenie názvu, ktoré nasadenie vyžaduje. Pripnutie bez kontroly názvu je slabší dizajn než dôvera voči CA, ktorú nahradilo.

Potom overte u každého klienta, pripojte sa, potvrďte identitu, ktorú prijal, a zaznamenajte verziu certifikátu, ktorej teraz dôveruje. Upozornenie raz odmietnuté má vo zvyku vrátiť sa pri ďalšej obnove.