Грешка веб сертификата на Access Server-у: празан CA пакет

Празна вредност ca_bundle или оштећен PEM зауставља административни интерфејс. Проверите сертификат, кључ и ланац као један сет пре рестартовања и не дирајте VPN PKI.

Страница за веб пријаву која се не учитава док се DNS исправно разрешава обично није DNS проблем. Ако дневник услуге помиње празну путању пакета сертификата или неуспех PEM парсирања за веб сертификат и приватни кључ, HTTPS слушалац нема употребљив материјал и разрешавање имена не помаже. Поправка је у три конфигурациона кључа и не захтева поновно издавање ниједног клијентског сертификата VPN-а.

На шта три кључа заправо показују

Прилагођени сет веб сертификата описују cs.cert, cs.priv_key и cs.ca_bundle. Сваки чува путању до датотеке, а веб услуга користи сва три заједно. Сертификат са погрешним кључем или датотека ланца која је у ствари лист сертификат пада као празна вредност.

Ови кључеви припадају Admin и Client веб интерфејсу. Они су одвојени од PKI која издаје сертификате VPN клијентима, па замена не захтева дирање профила, серверског кључа или тела за сертификате. Поновна изградња целог PKI је најскупља грешка овде.

Једна разлика штеди време: експлицитно празна прилагођена вредност није исто стање као одсуство преписивања. Прва даје парсеру празну путању, то каже линија дневника. Друга оставља Access Server на сопственом материјалу.

Зашто постојећа датотека ипак не пролази парсирање

Парсер чита означене блокове унутар датотеке, не име датотеке. .crt са приватним кључем, ланац записан као један блок или датотека са одсеченом последњом линијом се одбијају. RFC 7468 дефинише те читљиве ознаке зато што оне једине говоре који тип објекта следи.

Прегледајте објекте, не екстензије. На Linux домаћину openssl x509 -noout -subject -issuer -in server.pem и openssl pkey -noout -check -in key.pem одговарају на два важна питања, а поређење модула или јавног кључа доказује да припадају заједно. Држите излаз приватног кључа ван тикета и чет дневника.

Празна путања заслужује исто неповерење као оштећена датотека, јер обе дају нејасне касније грешке. Ако дневник каже да је путања пакета празна, прочитајте сачувану вредност пре него што почнете да отклањате грешку у датотеци.

Намерно се вратите на резерву

CLI Access Server-а има проверу која прима три путање као аргументе и извештава да ли је сет употребљив. Путање испод су примери; замените их заштићеним локацијама на домаћину.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Прочитајте резултат пре него што додирнете услугу која ради, па тек онда увезите вредности и примените их документованом операцијом за инсталирану верзију. званични CLI туторијал покрива проверу, увоз и корак примене, а његова верзија је важнија од било ког резимеа.

Проверите име које корисници заиста уносе

Када је прилагођени материјал покварен, а важећа уграђена резерва још постоји, документовани опоравак је уклањање три преписивања и пуштање Access Server-а да користи ту резерву. Прво обезбедите конзолни приступ и копију тренутне конфигурације.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Брисање целе конфигурационе базе није поправка сертификата. Циљајте та три кључа, примените и потврдите да веб интерфејс одговара. Самопотписане датотеке у директоријуму web-ssl су резервни ресурс, не радни простор.

Очекујте да ће прегледач приказати други сертификат након што резерва ступи на снагу. То је исправан исход; проверите га кроз свој поуздани административни процес.

Опоравак се завршава тек после успешне пријаве

Опоравак није завршен када се појави TCP слушалац. Проверите DNS име, идентитет сертификата и ланац за то име, затим учитајте оба интерфејса Admin и Client и завршите пријаву. Провера порта не доказује ништа од тога.

Access Server 3.1 и новији могу да служе различите веб сертификате по SNI имену домаћина. Ако је то конфигурисано, подразумевани кључеви и уноси за одређено име су одвојени сетови, а тестирање по IP адреси лако покаже други сертификат од оног који корисници добијају. Поправите и проверите сет за име које је пало и поновите тест пријаве пре затварања инцидента.

Повезани чланци