Obnovljeno potrdilo VPN: nekateri odjemalci ga še vedno zavračajo

Polovica okolja se po obnovi znova poveže, tri naprave pa zavrnejo, vsaka z opozorilom o identiteti prehoda. Sama obnova je rutina. Kar te tri naprave hranijo, je pripenjanje na stari objekt, in pripenjanje ni seznam CA, preverjanje imena ali vnos v shrambi zaupanja. Primerjajte tri mehanizme, preden se dotaknete katerega koli odjemalca.

Ena obnova, dve vedenji

Odjemalci, ki se znova povežejo, imajo odločitev o zaupanju, ki še vedno uspe, tisti, ki zavračajo, pa imajo zahtevo, ki je novo potrdilo ne izpolni. Ta razlika je informacija, ne šum. Natančno preberite sporočilo odjemalca, ki ne uspe. Neujemanje imena, neznan izdajatelj in spremenjen odtis so tri različne sodbe, in le zadnja kaže na pripenjanje.

Preverite tudi, kateri profil je izbral odjemalec, ki ne uspe. Uvožena kopija, ki živi v lastni shrambi, se ne spremeni, ko skrbnik ureja izvirno datoteko drugje.

Obnova zamenja objekt, ne le datuma

Odtis prepozna zakodirano vsebino potrdila. Obnova ustvari novo potrdilo, zato se odtis spremeni tudi, ko ime subjekta in javni ključ ostaneta enaka. To je pričakovano in neškodljivo za odjemalce, ki zaupajo CA in preverijo ime. Usodno je za odjemalca, nastavljenega da sprejme natanko eno potrdilo, in usodno je tudi za odjemalca, katerega shramba zaupanja nikoli ni prejela novega izdajatelja.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Druga vrstica odgovarja na drugo vprašanje, ali je par ključev preživel. Obnova, ki znova uporabi ključ, ohrani to vrednost in spremeni le potrdilo, in to je natanko primer, ko je skrbnik vabljen k domnevi, da se ni nič spremenilo. Preglejte nameščeno potrdilo, ne tistega na gradbenem gostitelju. Primerjava datoteke v repozitoriju dokazuje, kaj je bilo ustvarjeno, ne tega, kaj poslušalec prav zdaj predstavlja.

Preberite, kaj odjemalec pripenja

Nekateri odjemalci hranijo odtis v svojem profilu in ga primerjajo ob vsaki povezavi. Drugi ga shranjujejo v shrambi zaupanja platforme, tretji pa se zanašajo le na CA. Popravilo se v vsakem primeru razlikuje, zato najprej prepoznajte mehanizem.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Prvi ukaz pokaže pripenjanje v običajnem profilu; drugi pokaže odtis, ki ga končna točka prav zdaj dejansko streže. Ko se ta dva razlikujeta, ste okvaro našli brez ugibanja. Nove vrednosti ne lepite v vsakega odjemalca, ki se pritožuje. Odjemalec, ki zavrača zaradi izdajatelja, bo zavračal naprej, vi pa boste sebi dokazali, da je bil odtis težava, ko ni bil.

Primerjajte potrdilo, ki ga streže vsak backend

Prekinjeni rezultati običajno pomenijo več kot eno končno točko, in obnova, uporabljena na enem vozlišču, pusti druge, da predstavljajo stari objekt. Primerjajte vsak backend po naslovu, ne po skupnem imenu.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Nabor, v katerem eno vozlišče zaostaja, pojasni odjemalca, ki se poveže v drugem poskusu in ne uspe v prvem. Pojasni tudi kontrolo spremljanja, ki uspe, medtem ko se uporabniki pritožujejo. Najprej odpravite zaostanek. Uvajanje konfiguracije zaupanja, preden vsako vozlišče streže novo potrdilo, ustvari okno, v katerem nič ne deluje, uvajanje po tem pa pusti odjemalce, da nepredvidljivo odpovedujejo.

Spremenite zaupanje po upravljani poti

Potrdite zamenjavo po že zaupanja vrednem upravnem kanalu, preden jo kjer koli sprejmete. Verjeten datum poteka ni dokaz lastništva. Posodobite upravljano konfiguracijo skozi proces, ki jo poseduje, z morebitnim načrtovanim prekrivanjem sprejemljivih identitet, in ohranite preverjanje imena, ki ga uvajanje zahteva. Pripenjanje brez preverjanja imena je šibkejša zasnova od zaupanja v CA, ki ga je nadomestilo.

Nato preverite pri vsakem odjemalcu, povežite se, potrdite identiteto, ki jo je sprejel, in zabeležite različico potrdila, ki ji zdaj zaupa. Enkrat zavrnjeno opozorilo se rado vrne pri naslednji obnovi.