Certifikatë VPN e rinovuar: disa klientë ende e refuzojnë

Gjysma e mjedisit rilidhet pas rinovimit dhe tre pajisje refuzojnë, secila me një paralajmërim për identitetin e gateway-t. Vetë rinovimi është rutinë. Ajo që mbajnë këto tre pajisje është një pin te objekti i vjetër, dhe një pin nuk është listë CA, kontroll emri apo zë në depon e besimit. Krahasoni tre mekanizmat përpara se të prekni ndonjë klient.

Një rinovim, dy sjellje

Klientët që rilidhen kanë një vendim besimi që ende kalon, ndërsa ata që refuzojnë kanë një kërkesë që certifikata e re nuk e plotëson. Ky ndryshim është informacion, jo zhurmë. Lexoni me saktësi mesazhin e klientit që dështon. Mospërputhja e emrit, lëshuesi i panjohur dhe gjurma e ndryshuar janë tre verdikte të ndryshme, dhe vetëm i fundit tregon një pin.

Kontrolloni gjithashtu cilin profil zgjodhi klienti që dështon. Një kopje e importuar që jeton në depon e vet nuk ndryshon kur administratori redakton skedarin origjinal diku tjetër.

Rinovimi zëvendëson objektin, jo vetëm datën

Një gjurmë identifikon përmbajtjen e koduar të certifikatës. Rinovimi prodhon një certifikatë të re, prandaj gjurma ndryshon edhe kur emri i subjektit dhe çelësi publik mbeten të njëjtë. Kjo është e pritur dhe e padëmshme për klientët që besojnë një CA dhe verifikojnë emrin. Është fatale për një klient të konfiguruar të pranojë saktësisht një certifikatë, dhe është gjithashtu fatale për një klient, depoja e besimit e të cilit nuk e mori kurrë lëshuesin e ri.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Rreshti i dytë përgjigjet një pyetjeje tjetër, nëse çifti i çelësave mbijetoi. Një rinovim që ripërdor çelësin e mban atë vlerë dhe ndryshon vetëm certifikatën, dhe pikërisht ky është rasti kur administratori tundohet të mendojë se asgjë nuk ndryshoi. Inspektoni certifikatën e vendosur, jo atë në hostin e ndërtimit. Krahasimi i një skedari në një depo provon çfarë u gjenerua, jo çfarë po paraqet një dëgjues në këtë moment.

Lexoni çfarë po pin-on klienti

Disa klientë mbajnë një gjurmë në profilin e tyre dhe e krahasojnë në çdo lidhje. Të tjerë e ruajnë në një depo besimi të platformës, dhe të tjerë përsëri mbështeten vetëm te një CA. Riparimi ndryshon në çdo rast, prandaj identifikoni së pari mekanizmin.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Komanda e parë tregon një pin në një profil konvencional; e dyta tregon gjurmën që pika fundore po shërben vërtet tani. Kur këto të dyja ndryshojnë, e keni lokalizuar defektin pa hamendësuar. Mos e ngjitni vlerën e re në çdo klient që ankohet. Një klient që refuzon për arsye lëshuesi do të vazhdojë të refuzojë, dhe ju do ta bindni veten se gjurma ishte problemi kur nuk ishte.

Krahasoni certifikatën që shërben çdo backend

Rezultatet me ndërprerje zakonisht nënkuptojnë më shumë se një pikë fundore, dhe një rinovim i aplikuar në një nyje i lë të tjerat të paraqesin objektin e vjetër. Krahasoni çdo backend sipas adresës dhe jo sipas emrit të përbashkët.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Një grup ku një nyje mbetet prapa shpjegon një klient që lidhet në provën e dytë dhe dështon në të parën. Shpjegon gjithashtu një kontroll monitorimi që kalon ndërsa përdoruesit ankohen. Rregulloni së pari vonesën. Rrotullimi i konfigurimit të besimit përpara se çdo nyje të shërbejë certifikatën e re krijon një dritare ku asgjë nuk funksionon, dhe rrotullimi pas saj i lë klientët të dështojnë në mënyrë të paparashikueshme.

Ndryshoni besimin përmes rrugës së menaxhuar

Konfirmoni zëvendësimin përmes një kanali administrativ tashmë të besuar përpara se ta pranoni kudo. Një datë skadimi e besueshme nuk është provë pronësie. Përditësoni konfigurimin e menaxhuar përmes procesit që e zotëron, me çdo mbivendosje të planifikuar të identiteteve të pranueshme, dhe mbani verifikimin e emrit që kërkon vendosja. Një pin pa kontroll emri është një dizajn më i dobët se besimi te CA që zëvendësoi.

Më pas verifikoni për çdo klient, lidhuni, konfirmoni identitetin që pranoi dhe shënoni versionin e certifikatës që tani i beson. Një paralajmërim i hedhur poshtë një herë ka zakon të kthehet në rinovimin tjetër.