Khalad shahaado web ee Access Server: xirmo CA madhan

Qiime ca_bundle madhan ama PEM xumaaday ayaa joojiya interface-ka maamulka. Hubi shahaadada, furaha iyo silsiladda sida hal xirmo ka hor dib-u-bilow, hana taaban PKI-ga VPN.

Bogga gelitaanka web ee aan soo dejisanayn iyadoo DNS si sax ah loo xallinayo badanaa maaha dhibaato DNS. Haddii diiwaanka adeeggu sheego waddo madhan oo xirmada shahaadada ah ama guuldarro falanqayn PEM ah oo ku saabsan shahaadada web iyo furaha gaarka ah, dhageystaha HTTPS ma hayo wax shaqeeya oo xallinta magacyadu ma caawinayso. Dayactirku wuxuu ku jiraa saddex fure oo qaabaynta ah oo uma baahna in shahaado macmiil VPN ah dib loo soo saaro.

Saddexda fure maxay run ahaantii tilmaamaan

Xirmada shahaadada web ee gaarka ah waxaa lagu qeexay cs.cert, cs.priv_key iyo cs.ca_bundle. Mid kastaa wuxuu kaydiyaa waddo fayl, adeegga webna saddexda ayuu wada isticmaalaa. Shahaado fure khaldan leh, ama fayl silsilad ah oo dhab ahaan ah shahaadada caleenta, waxay ku guuldareysataa sida qiime madhan.

Furayaashani waxay ka tirsan yihiin interface-ka web ee Admin iyo Client. Waxay ka gooni yihiin PKI-ga shahaadooyinka siiya macmiilka VPN, sidaas darteed beddelka uma baahna in la taabto profiles, furaha server-ka ama hayadda shahaadada. Dib-u-dhiska PKI oo dhan waa khaladka ugu qaalisan halkan.

Hal kala duwanaansho wuxuu badbaadiyaa waqti: qiime gaar ah oo si cad madhan maaha isla xaaladda la aanta wax ka-beddel. Midda koowaad waxay falanqeeyaha siinaysaa waddo madhan, taas ayay sheegtaa sadarka diiwaanka. Midda labaad waxay Access Server ku reebtaa maaddadiisa.

Sababta faylka jira weli loo falanqayn waayo

Falanqeeyuhu wuxuu akhriyaa baloogyada sumadda leh ee faylka dhexdiisa, ma aha magaca faylka. .crt oo leh fure gaar ah, silsilad loo qoray hal baloog, ama fayl leh sadarka ugu dambeeya oo la jaray waa la diidayaa. RFC 7468 waxay qeexdaa sumadahaas la akhriyi karo sababtoo ah iyaga kaliya ayaa sheegaya nooca shayga xiga.

Baadh shayada, ma aha kordhinta. Linux, openssl x509 -noout -subject -issuer -in server.pem iyo openssl pkey -noout -check -in key.pem waxay ka jawaabaan laba su aalood oo muhiim ah, isbarbardhigga modulus ama furaha dadweynuhuna wuxuu caddeeyaa inay iska tirsan yihiin. Ka fogee natiijada furaha gaarka ah tigidhada iyo diiwaannada sheekaysiga.

Waddo madhan waxay mudan tahay shaki la mid ah fayl xumaaday, sababtoo ah labaduba waxay bixiyaan khaladaad aan caddayn oo dambe. Haddii diiwaanku sheego in waddada xirmadu madhan tahay, akhri qiimaha la kaydiyay ka hor intaadan faylka hagaajin.

Si ula kac ah ugu noqo kaydka

CLI-ga Access Server wuxuu leeyahay hubin qaata saddexda waddo sida doodaha oo soo sheegta haddii xirmadu isticmaali karto. Waddooyinka hoose waa tusaale; ku beddel meelaha la ilaaliyay ee server-ka.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Akhri natiijada ka hor intaadan taaban adeegga socda, ka dibna soo dejiso qiimayaasha oo ku dhaqan geli hawlgalka la diiwaangeliyay ee nooca la rakibay. casharka CLI ee rasmiga ah wuxuu daboolaa hubinta, soo-dejinta iyo tallaabada dhaqangelinta, noocaadiisuna wuu ka muhiimsan yahay soo-koobid kasta.

Hubi magaca isticmaalayaashu run ahaantii qoraan

Marka maaddada gaarku xumaato oo ay weli jirto kayd ansax ah oo lagu dhisay, soo-kabashada la diiwaangeliyay waa inaad ka saarto saddexda beddel oo aad u ogolaato Access Server inuu isticmaalo kaydkaas. Marka hore diyaari gelitaanka console-ka iyo nuqul ka mid ah qaabaynta hadda.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Tirtirka dhammaan keydka xogta qaabayntu maaha dayactir shahaado. Bartilmaameed saddexda fure, dhaqan geli oo xaqiiji in interface-ka webku jawaabayo. Faylasha is-saxeexan ee ku jira galka web-ssl waa kheyraad kayd ah, maaha goob shaqo.

Filasho in browser-ku muujiyo shahaado kale ka dib marka kaydku dhaqan galo. Taasi waa natiijada saxda ah; ku xaqiiji habkaaga maamul ee la aamini karo.

Soo-kabashada waxay dhammaataa gelitaan guul leh ka dib

Soo-kabashadu ma dhammaata marka dhageyste TCP soo baxdo. Hubi magaca DNS, aqoonsiga shahaadada iyo silsiladda magacaas, ka dib soo rar labada interface Admin iyo Client oo dhammaystir gelitaan. Hubinta dekeddu wax ka mid ah ma caddaynayso.

Access Server 3.1 iyo kuwa dambe waxay u adeegi karaan shahaadooyin web kala duwan magac kasta oo martigeliyaha SNI ah. Haddii taas la qaabeeyay, furayaasha caadiga ah iyo gelitaanka magaca gaar ah waa xirmooyin gooni ah, tijaabinta cinwaanka IP-na si fudud ayay u muujin kartaa shahaado ka duwan tii isticmaalayaashu helaan. Hagaaji oo hubi xirmada magaca guuldareystay, ka dibna ku celi tijaabada gelitaanka ka hor intaadan xidhin dhacdada.

Maqaallo la xiriira