Gabim i certifikatës së uebit në Access Server: paketa CA bosh

Një faqe hyrjeje në ueb që nuk ngarkohet ndërsa DNS zgjidhet saktë zakonisht nuk është problem DNS. Nëse regjistri i shërbimit përmend një rrugë bosh të paketës së certifikatave ose një dështim analize PEM për certifikatën e uebit dhe çelësin privat, dëgjuesi HTTPS nuk ka material të përdorshëm dhe zgjidhja e emrave nuk ndihmon. Riparimi ndodhet në tre çelësa konfigurimi dhe nuk kërkon rishpallje të asnjë certifikate klienti VPN.

Çfarë tregojnë vërtet tre çelësat

Grupi i personalizuar i certifikatave të uebit përshkruhet nga cs.cert, cs.priv_key dhe cs.ca_bundle. Secili ruan një rrugë skedari dhe shërbimi i uebit i përdor të tre bashkë. Një certifikatë me çelësin e gabuar, ose një skedar zinxhiri që në të vërtetë është certifikata gjethe, dështon si një vlerë bosh.

Këta çelësa i përkasin ndërfaqes së uebit Admin dhe Client. Ata janë të ndarë nga PKI që lëshon certifikata për klientët VPN, prandaj zëvendësimi nuk kërkon prekjen e profileve, çelësit të serverit apo autoritetit të certifikatave. Rindërtimi i të gjithë PKI është gabimi më i shtrenjtë këtu.

Një dallim kursen kohë: një vlerë e personalizuar qartësisht bosh nuk është i njëjti gjendje si mospasja e asnjë mbivendosjeje. E para i jep analizuesit një rrugë bosh, këtë thotë rreshti i regjistrit. E dyta e lë Access Server në materialin e vet.

Pse një skedar ekzistues prapë nuk analizohet

Analizuesi lexon blloqet e etiketuara brenda skedarit, jo emrin e skedarit. Një .crt me çelës privat, një zinxhir i shkruar si një bllok i vetëm, ose një skedar me rreshtin e fundit të prerë refuzohen. RFC 7468 i përcakton ato etiketa të lexueshme sepse janë e vetmja gjë që thotë se çfarë lloj objekti vjen më pas.

Shqyrtoni objektet, jo shtesat. Në një host Linux, openssl x509 -noout -subject -issuer -in server.pem dhe openssl pkey -noout -check -in key.pem përgjigjen dy pyetjeve të rëndësishme, dhe krahasimi i modulit ose çelësit publik provon se përputhen. Mbajini daljet e çelësit privat jashtë biletave dhe regjistrave të bisedës.

Një rrugë bosh meriton të njëjtin dyshim si një skedar i dëmtuar, sepse të dyja prodhojnë gabime të mëvonshme të paqarta. Nëse regjistri thotë se rruga e paketës është bosh, lexoni vlerën e ruajtur përpara se të korrigjoni skedarin.

Kthehuni me qëllim te rezervë

CLI i Access Server ka një verifikim që merr tre rrugët si argumente dhe raporton nëse grupi është i përdorshëm. Rrugët më poshtë janë shembuj; zëvendësojini me vendndodhjet e mbrojtura në host.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Lexoni rezultatin përpara se të prekni shërbimin që punon, pastaj importoni vlerat dhe zbatoni ato me operacionin e dokumentuar për versionin e instaluar. tutoriali zyrtar i CLI mbulon verifikimin, importimin dhe hapin e zbatimit, dhe versioni i tij vlen më shumë se çdo përmbledhje.

Verifikoni emrin që përdoruesit shkruajnë

Kur materiali i personalizuar është i prishur dhe ekziston ende një rezervë e vlefshme e integruar, rikthimi i dokumentuar është të hiqni tre mbivendosjet dhe ta lini Access Server të përdorë atë rezervë. Siguroni së pari akses në konsolë dhe një kopje të konfigurimit aktual.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Fshirja e të gjithë bazës së konfigurimit nuk është riparim certifikate. Synoni ato tre çelësa, zbatoni dhe konfirmoni që ndërfaqja e uebit përgjigjet. Skedarët e vetë-nënshkruar nën drejtorinë web-ssl janë burimi rezervë, jo hapësirë pune.

Prisni që shfletuesi të tregojë një certifikatë tjetër pasi rezerva të hyjë në fuqi. Ky është rezultati i saktë; verifikojeni përmes procesit tuaj administrativ të besuar.

Rikthimi përfundon vetëm pas një hyrjeje të suksesshme

Rikthimi nuk ka përfunduar kur shfaqet një dëgjues TCP. Verifikoni emrin DNS, identitetin e certifikatës dhe zinxhirin për atë emër, pastaj ngarkoni ndërfaqet e uebit Admin dhe Client dhe përfundoni një hyrje. Një kontroll porte nuk provon asgjë nga këto.

Access Server 3.1 dhe më vonë mund të shërbejnë certifikata të ndryshme uebi për çdo emër hosti SNI. Nëse është konfiguruar, çelësat e parazgjedhur dhe zërat specifikë të emrit janë grupe të ndara, dhe testimi me adresë IP tregon lehtësisht një certifikatë të ndryshme nga ajo që marrin përdoruesit. Rregulloni dhe verifikoni grupin për emrin që dështoi dhe përsëritni testin e hyrjes përpara se të mbyllni incidentin.