Hitilafu ya cheti cha wavuti kwenye Access Server: kifurushi cha CA tupu

Thamani tupu ya ca_bundle au PEM iliyoharibika husimamisha kiolesura cha msimamizi. Hakikisha cheti, ufunguo na mnyororo kama seti moja kabla ya kuwasha upya, na usigusa PKI ya VPN.

Ukurasa wa kuingia wa wavuti ambao haupaki wakati DNS inatatuliwa sawa si tatizo la DNS kwa kawaida. Ikiwa kumbukumbu ya huduma inataja njia tupu ya kifurushi cha vyeti au kushindwa kwa uchanganuzi wa PEM kwa cheti cha wavuti na ufunguo wa faragha, kiskizaji cha HTTPS hakina nyenzo inayoweza kutumika na utatuzi wa majina hautasaidia. Ukarabati uko katika funguo tatu za usanidi na hauhitaji kutoa upya cheti chochote cha mteja wa VPN.

Funguo tatu zinaelekeza wapi hasa

Seti maalum ya vyeti vya wavuti inaelezwa na cs.cert, cs.priv_key na cs.ca_bundle. Kila moja huhifadhi njia ya faili, na huduma ya wavuti hutumia zote tatu pamoja. Cheti chenye ufunguo usiofaa, au faili ya mnyororo ambayo kwa kweli ni cheti cha jani, hushindwa kama thamani tupu.

Funguo hizi ni za kiolesura cha wavuti cha Admin na Client. Zimetenganishwa na PKI inayotoa vyeti kwa wateja wa VPN kwa hiyo kubadilisha hakuhitaji kugusa wasifu, ufunguo wa seva au mamlaka ya vyeti. Kujenga upya PKI yote ni kosa la gharama kubwa zaidi hapa.

Tofauti moja huokoa muda: thamani maalum tupu kabisa si hali sawa na kutokuwa na ubatilishaji wowote. Ya kwanza humpa kichanganuzi njia tupu, ndivyo mstari wa kumbukumbu unavyosema. Ya pili humwacha Access Server kwenye nyenzo zake mwenyewe.

Kwa nini faili iliyopo bado haichanganuliwi

Kichanganuzi husoma vitalu vilivyo na lebo ndani ya faili, si jina la faili. .crt iliyo na ufunguo wa faragha, mnyororo ulioandikwa kama kitalu kimoja, au faili iliyohifadhiwa na mstari wa mwisho uliokatwa hukataliwa. RFC 7468 hufafanua lebo hizo zinazosomeka kwa sababu ndizo kitu pekee kinachoeleza aina ya kitu kinachofuata.

Chunguza vitu, si viendelezi. Kwenye mwenyeji wa Linux, openssl x509 -noout -subject -issuer -in server.pem na openssl pkey -noout -check -in key.pem hujibu maswali mawili muhimu, na kulinganisha moduli au ufunguo wa umma wa vyote viwili huthibitisha vinaendana. Weka matokeo ya ufunguo wa faragha mbali na tiketi na kumbukumbu za gumzo.

Njia tupu inastahili shaka sawa na faili iliyoharibika, kwa sababu zote mbili hutoa hitilafu zisizo wazi baadaye. Ikiwa kumbukumbu inasema njia ya kifurushi ni tupu, soma thamani iliyohifadhiwa kabla ya kutatua faili.

Rudi kwenye hifadhi kwa makusudi

CLI ya Access Server ina ukaguzi unaochukua njia tatu kama hoja na kuripoti kama seti inaweza kutumika. Njia zilizo hapa chini ni mifano; badilisha na maeneo yaliyolindwa kwenye mwenyeji.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Soma matokeo kabla ya kugusa huduma inayoendesha, kisha uingize thamani na uzitumie kupitia operesheni iliyoandikwa kwa toleo lililowekwa. mafunzo rasmi ya CLI yanashughulikia ukaguzi, uingizaji na hatua ya matumizi, na toleo lake ni muhimu kuliko muhtasari wowote.

Hakikisha jina ambalo watumiaji huandika

Wakati nyenzo maalum zimeharibika na hifadhi halali iliyojengwa ndani bado ipo, urejeshaji ulioandikwa ni kuondoa ubatilishaji tatu na kumruhusu Access Server kutumia hifadhi hiyo. Panga kwanza ufikiaji wa konsoli na nakala ya usanidi wa sasa.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Kufuta hifadhidata yote ya usanidi si ukarabati wa cheti. Lenga funguo hizo tatu, tumia na uthibitishe kuwa kiolesura cha wavuti kinajibu. Faili zilizosainiwa zenyewe katika saraka ya web-ssl ni rasilimali ya hifadhi, si nafasi ya kazi.

Tazamia kivinjari kuonyesha cheti tofauti baada ya hifadhi kuanza kutumika. Hiyo ndiyo matokeo sahihi; thibitisha kupitia mchakato wako wa usimamizi unaoaminika.

Urejeshaji humalizika baada ya kuingia kwa mafanikio

Urejeshaji haujakamilika kikisikizaji cha TCP kinapotokea. Hakikisha jina la DNS, utambulisho wa cheti na mnyororo wa jina hilo, kisha pakia violesura vya Admin na Client na ukamilishe kuingia. Ukaguzi wa bandari hauthibitishi chochote kati ya hivyo.

Access Server 3.1 na zaidi vinaweza kutoa vyeti tofauti vya wavuti kwa kila jina la mwenyeji la SNI. Ikiwa imesanidiwa hivyo, funguo chaguo-msingi na maingizo maalum ya jina ni seti tofauti, na kujaribu kwa anwani ya IP kunaweza kuonyesha cheti tofauti na kile watumiaji wanapata. Rekebisha na uthibitishe seti ya jina lililoshindwa, kisha rudia jaribio la kuingia kabla ya kufunga tukio.

Makala zinazohusiana