Cheti cha VPN kilichohuishwa: baadhi ya wateja bado wanakikataa

Nusu ya mazingira huunganishwa tena baada ya uhuishaji na vifaa vitatu hukataa, kila kimoja kikionya kuhusu utambulisho wa lango. Uhuishaji wenyewe ni wa kawaida. Kile ambacho vifaa hivi vitatu hushikilia ni pini kwa kitu cha zamani, na pini si orodha ya CA, si ukaguzi wa jina na si ingizo la hifadhi ya imani. Linganisha mifumo hiyo mitatu kabla ya kugusa mteja yeyote.

Uhuishaji mmoja, tabia mbili

Wateja wanaounganishwa tena wana uamuzi wa imani ambao bado unapita, na wanaokataa wana hitaji ambalo cheti kipya hakilitimizi. Tofauti hiyo ni taarifa, si kelele. Soma ujumbe wa mteja anayeshindwa kwa usahihi. Kutokupatana kwa jina, mtoaji asiyefahamika na alama ya kidole iliyobadilika ni hukumu tatu tofauti, na ya mwisho pekee ndiyo inayoelekeza kwenye pini.

Angalia pia ni wasifu gani mteja anayeshindwa alichagua. Nakala iliyoingizwa inayoishi katika hifadhi yake yenyewe haibadiliki msimamizi anapohariri faili asili mahali pengine.

Uhuishaji hubadilisha kitu, si tarehe tu

Alama ya kidole hutambua maudhui yaliyosimbwa ya cheti. Uhuishaji huzalisha cheti kipya, kwa hivyo alama ya kidole hubadilika hata jina la somo na ufunguo wa umma zikibaki sawa. Hilo linatarajiwa na halina madhara kwa wateja wanaomwamini CA na kuthibitisha jina. Ni mbaya kwa mteja aliyesanidiwa kukubali cheti kimoja hasa, na pia ni mbaya kwa mteja ambaye hifadhi yake ya imani haikupokea kamwe mtoaji mpya.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Mstari wa pili hujibu swali lingine, kama jozi ya funguo ilinusurika. Uhuishaji unaotumia ufunguo tena huhifadhi thamani hiyo na hubadilisha cheti pekee, na ndiyo hasa hali ambayo msimamizi hujaribiwa kudhani hakuna kilichobadilika. Kagua cheti kilichosambazwa, si kile kilicho kwenye mwenyeji wa kujenga. Kulinganisha faili katika hazina huthibitisha kilichozalishwa, si kile msikilizaji anawasilisha sasa hivi.

Soma kile ambacho mteja anapini

Baadhi ya wateja huweka alama ya kidole katika wasifu wao na kuilinganisha kwenye kila muunganisho. Wengine huihifadhi katika hifadhi ya imani ya jukwaa, na wengine tena hutegemea CA pekee. Ukarabati hutofautiana kwa kila kisa, kwa hivyo tambua mfumo kwanza.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Amri ya kwanza inaonyesha pini katika wasifu wa kawaida; ya pili inaonyesha alama ya kidole ambayo kituo cha mwisho kinatumikia kwa kweli sasa hivi. Zikilingana tofauti, umegundua hitilafu bila kubahatisha. Usibandike thamani mpya kwa kila mteja anayelalamika. Mteja anayekataa kwa sababu za mtoaji ataendelea kukataa, na utajifunza mwenyewe kwamba alama ya kidole ilikuwa tatizo wakati haikuwa.

Linganisha cheti kinachotumiwa na kila backend

Matokeo yanayokatika katika kawaida humaanisha zaidi ya kituo kimoja cha mwisho, na uhuishaji uliotumika kwenye nodi moja huwaacha wengine wakiwasilisha kitu cha zamani. Linganisha kila backend kwa anwani na si kwa jina la pamoja.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Kundi ambalo nodi moja iko nyuma hufafanua mteja anayeunganishwa katika jaribio la pili na kushindwa katika la kwanza. Pia hufafanua ukaguzi wa ufuatiliaji unaopita wakati watumiaji wanalalamika. Rekebisha ucheleweshaji kwanza. Kusambaza usanidi wa imani kabla kila nodi kutumikia cheti kipya hutengeneza dirisha ambalo hakuna kitu hufanya kazi, na kusambaza baada ya hapo huwaacha wateja wakishindwa bila utabiri.

Badilisha imani kupitia njia inayosimamiwa

Thibitisha ubadilishaji kupitia njia ya kiutawala inayoaminika tayari kabla ya kuukubali mahali popote. Tarehe ya mwisho inayowezekana si uthibitisho wa umiliki. Sasisha usanidi unaosimamiwa kupitia mchakato unaoumiliki, pamoja na mwingiliano wowote uliopangwa wa utambulisho unaokubalika, na weka uthibitisho wa jina unaohitajika na usambazaji. Pini bila ukaguzi wa jina ni muundo dhaifu kuliko imani ya CA iliyoibadilisha.

Kisha thibitisha kwa kila mteja, unganisha, thibitisha utambulisho alioukubali, na andika toleo la cheti analoliamini sasa. Onyo lililokataliwa mara moja huwa na tabia ya kurudi kwenye uhuishaji unaofuata.