Napaka spletnega potrdila v Access Serverju: prazen paket CA

Prazna vrednost ca_bundle ali poškodovan PEM ustavi skrbniški vmesnik. Pred ponovnim zagonom preverite potrdilo, ključ in verigo kot en sklop, PKI VPN pa pustite pri miru.

Prijavna stran, ki se ne naloži, čeprav se DNS pravilno razrešuje, običajno ni težava DNS. Če dnevnik storitve omenja prazno pot paketa potrdil ali napako pri razčlenjevanju PEM za spletno potrdilo in zasebni ključ, poslušalec HTTPS nima uporabnega gradiva in razreševanje imen ne pomaga. Popravilo je v treh konfiguracijskih ključih in ne zahteva ponovne izdaje nobenega potrdila odjemalca VPN.

Na kaj trije ključi zares kažejo

Sklop spletnih potrdil po meri opisujejo cs.cert, cs.priv_key in cs.ca_bundle. Vsak hrani pot do datoteke, spletna storitev pa uporablja vse tri skupaj. Potrdilo z napačnim ključem ali datoteka verige, ki je v resnici listno potrdilo, spodleti kot prazna vrednost.

Ti ključi pripadajo spletnemu vmesniku Admin in Client. So ločeni od PKI, ki izdaja potrdila odjemalcem VPN, zato zamenjava ne zahteva poseganja v profile, strežniški ključ ali potrditveni organ. Ponovna gradnja celotne PKI je tukaj najdražja napaka.

Ena razlika prihrani čas: izrecno prazna vrednost po meri ni isto stanje kot nobenega prepisa. Prva da razčlenjevalniku prazno pot, to pravi vrstica dnevnika. Druga pusti Access Server na lastnem gradivu.

Zakaj obstoječa datoteka še vedno ni razčlenjena

Razčlenjevalnik bere označene bloke znotraj datoteke, ne imena datoteke. .crt s zasebnim ključem, veriga, zapisana kot en blok, ali datoteka z odrezano zadnjo vrstico so zavrnjeni. RFC 7468 te berljive oznake določa zato, ker so edino, kar pove, katera vrsta predmeta sledi.

Preverite predmete, ne končnic. Na gostitelju Linux openssl x509 -noout -subject -issuer -in server.pem in openssl pkey -noout -check -in key.pem odgovorita na dve pomembni vprašanji, primerjava modula ali javnega ključa pa dokaže, da spadata skupaj. Izhod zasebnega ključa hranite zunaj zahtevkov in klepetalnih dnevnikov.

Prazna pot si zasluži enako nezaupanje kot poškodovana datoteka, ker obe dajeta nejasne poznejše napake. Če dnevnik pravi, da je pot paketa prazna, preberite shranjeno vrednost, preden začnete razhroščevati datoteko.

Namerno se vrnite na rezervo

CLI Access Serverja ima preverjanje, ki sprejme tri poti kot argumente in sporoči, ali je sklop uporaben. Poti spodaj so zgledi; zamenjajte jih z zaščitenimi mesti na gostitelju.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Preberite rezultat, preden se dotaknete delujoče storitve, in šele nato uvozite vrednosti ter jih uporabite z dokumentiranim postopkom za nameščeno različico. uradni CLI učbenik pokriva preverjanje, uvoz in korak uporabe, njegova različica pa šteje več kot vsak povzetek.

Preverite ime, ki ga uporabniki zares vpišejo

Ko je gradivo po meri pokvarjeno in še obstaja veljavna vgrajena rezerva, je dokumentirana obnovitev odstranitev treh prepisov in prepustitev rezerve Access Serverju. Najprej zagotovite dostop do konzole in kopijo trenutne konfiguracije.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Brisanje celotne konfiguracijske baze ni popravilo potrdila. Ciljajte na te tri ključe, uporabite in potrdite, da se spletni vmesnik odziva. Samopodpisane datoteke v mapi web-ssl so rezervni vir, ne delovni prostor.

Pričakujte, da bo brskalnik po začetku veljavnosti rezerve pokazal drugo potrdilo. To je pravilen izid; preverite ga v svojem zaupanja vrednem skrbniškem postopku.

Obnovitev se konča šele po uspešni prijavi

Obnovitev ni končana, ko se pojavi poslušalec TCP. Preverite ime DNS, identiteto potrdila in verigo za to ime, nato naložite vmesnika Admin in Client ter dokončajte prijavo. Preverjanje vrat ne dokaže ničesar od tega.

Access Server 3.1 in novejši lahko strežejo različna spletna potrdila za vsako ime gostitelja SNI. Če je to nastavljeno, so privzeti ključi in vnosi za določeno ime ločeni sklopi, preizkus po naslovu IP pa zlahka pokaže drugo potrdilo od tistega, ki ga dobijo uporabniki. Popravite in preverite sklop za ime, ki je spodletelo, in pred zaprtjem dogodka ponovite preizkus prijave.

Sorodni članki