Kwa nini kuagiza upya cheti cha Client VPN kunahitaji kituo kipya cha mwisho

Muunganisho wa Client VPN unakatika, cheti kilicho katika ACM kinabadilishwa, na hakuna kinachobadilika. Kipengee cha cheti hakikuwa kile ambacho kituo cha mwisho kilikuwa kinatumia. Kituo cha mwisho huhifadhi uhusiano na cheti wakati wa kuundwa, pamoja na CA ya mteja ambayo itathibitisha dhidi yake, aina ya uthibitishaji, subneti na kanuni za idhini, na hakuna uhusiano wowote kati ya hizi ulio na mwito wa mabadiliko unaokubali cheti mbadala. Kubadilisha baiti zilizo nyuma ya ARN ni mabadiliko kwenye cheti, si kwenye kituo cha mwisho kilichokinasa.

Kituo cha mwisho huhifadhi marejeleo, si vyeti

Utaratibu huu unafaa kuelezwa kwa usahihi, kwa sababu unaeleza kushindwa kote. create-client-vpn-endpoint huchukua ARN ya cheti cha seva na ARN ya mnyororo wa vyeti vya mzizi wa mteja, na kituo cha mwisho kinachotokana huhifadhi marejeleo hayo pamoja na chaguo za uthibitishaji kama sifa zisizobadilika. API haitoi operesheni inayobadilisha cheti cha seva kwenye kituo cha mwisho kilichopo.

Unaweza kuthibitisha uhusiano bila kukisia. aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 huchapisha ARN ya cheti, ARN ya mnyororo wa mzizi wa mteja, aina ya uthibitishaji, CIDR ya mteja na subneti zinazohusiana, ambayo ni seti kamili ya sifa ambazo ungelazimika kuzizalisha upya. Iendeshe kabla na baada ya kuagiza upya, na matokeo hayasogei. Hiyo ni thibitisho kwamba kuagiza upya hakkungeweza kusaidia kamwe.

Kwa nini kuagiza upya hakuwezi kufikia kituo cha mwisho

Kuagiza upya huandika mwili mpya wa cheti chini ya ARN iliyopo. Hiyo ni operesheni halali cheti kinapokaribia kuisha, na ACM itaikubali mradi tu ufunguo wa faragha ulingane na mnyororo uthibitike. Kinachoshindwa kufanya ni kuendesha tena uthibitishaji wa wakati wa kuundwa kwa kituo cha mwisho, kwa hivyo uhusiano na nyenzo zilizo nyuma yake zinabaki kama zilivyokuwa wakati kituo cha mwisho kilijengwa.

Ndiyo sababu dalili inasikika kama hitilafu ya mtandao. Kupeana mikono kwa TLS kunashindwa au kuanzishwa upya kabla idhini kutathminiwa, kwa hivyo vikundi vya usalama, njia na kanuni za idhini zote zinaonekana hazina hatia, na kweli hazina.

Mnyororo ni sehemu ya cheti cha mteja

Nusu ya pili ya kushindwa iko kwenye cheti cha mteja, na ni rahisi kuipuuza. Cheti cha mteja lazima kiagizwe pamoja na mnyororo uliokitoa, ingawa fomu ya uagizaji inaonyesha sehemu hiyo kama ya hiari. Bila mnyororo kituo cha mwisho hakiwezi kujenga njia kutoka cheti cha mteja hadi CA ya mzizi ya mteja ambayo kilisanidiwa nayo, na muunganisho unaishia katika uanzishaji upya laini unaosikika kama ukuta wa moto unaodondosha pakiti. openssl verify -CAfile root-ca.pem client.crt hujibu swali hilo ndani ya sekunde moja, na inapaswa kuwa amri ya kwanza unayoiendesha.

Kuagiza upya pamoja na mnyororo ni marekebisho ya kweli kwa nusu hiyo, na bado hakitoshani peke yake. Mara kipengee cha ACM kinapobadilika, kituo cha mwisho kilichoshikilia uhusiano wa zamani ni kitu kibaya kuendelea kujaribiwa. Hatua zote mbili ni za marekebisho moja, ndiyo sababu marekebisho ya sehemu mbili si kinzani.

Kuunda upya kituo cha mwisho ni uhamisho

Kuunda kituo cha mwisho mbadala ni uhamisho, si jaribio jipya, na kulichukulia kama jaribio jipya ndiyo njia ambayo timu huishia na vituo viwili vya mwisho vilivyosanidiwa nusu. Kituo kipya cha mwisho hupata ID mpya na, ikiwa hukupanga, jina jipya la DNS kwa kila mtumiaji. Weka wasifu wa mteja ukielekeza kwenye jina badala ya anwani, ili mabadiliko yawe mabadiliko ya rekodi na si ugawaji upya.

Mpangilio unaohifadhi hii salama ni mfupi: unda kituo kipya cha mwisho na CIDR, subneti na kanuni za idhini sawa, hamisha wasifu mpya kwa aws ec2 export-client-vpn-client-configuration, na uthibitishe kwa mtumiaji mmoja. Baada ya hapo tu ndipo kituo cha zamani cha mwisho kinashushwa.

Kuondoa kituo cha zamani cha mwisho kuna mpangilio wake. Batilisha vyeti vya mteja ulivyokusudia kuondoa kabla ya kukifuta, kwa sababu kituo kipya cha mwisho kinachoendelea kumwamini CA ya zamani kinaendelea kukubali vyeti ulivyodhani vimekwenda. Kisha futa kituo cha zamani cha mwisho na uondoe kanuni zake za idhini, ili wasifu wa zamani usiweze kuunganishwa tena na mtandao lengwa uliodhani umefungwa. Andika ID ya kituo cha zamani cha mwisho na vitambulisho vya uhusiano kwenye rekodi ya mabadiliko, kwa sababu uhamisho unaolinganishwa na kumbukumbu ndiyo njia ambayo kituo cha mwisho kinachofanya kazi hujengwa upya mara mbili.

Panga utambuzi

Tenganisha kushindwa kutatu kabla ya kubadilisha usanidi wowote. Mteja hawezi kukamilisha TLS, mteja hukamilisha TLS na hajaidhinishwa, au mteja huunganisha na hawezi kufikia lengwa. Uhusiano wa cheti ni wa kwanza, kanuni ya idhini isiyofunika anwani ya mteja ni ya pili, na njia au kikundi cha usalama ni cha tatu, ambapo kuunda upya kituo cha mwisho karibu kila mara ni hatua isiyo sahihi.

Kituo cha mwisho kilichofanya kazi kwa miezi kisha kikasimama, bila mabadiliko ya cheti au sera, ni kisa chake. Kukijenga upya kwa mipangilio inayofanana kunaweza kurejesha huduma, lakini hiyo ni sababu ya kuweka usanidi uweze kuzalishwa upya, si sababu ya kujenga upya kwa kila tukio.

Weka vitu vinne chini ya udhibiti wa toleo ili ujenzi upya ujao uwe diff na si ubunifu wa papo hapo: vigezo vya kituo cha mwisho, ARN za cheti na mnyororo, kanuni za idhini na CIDR ya mteja. Nyaraka za uthibitishaji wa Client VPN zinaorodhesha cheti kipi kina jukumu gani, jambo ambalo linafaa kuangaliwa kabla ya kudhani kuwa cheti ni tatizo. Ikiwa kuagiza upya hakubadilishi chochote na kituo cha mwisho bado kinaanzishwa upya, uhusiano ndio unaoshukiwa na jibu ni kituo kipya cha mwisho kilichojengwa kutoka vigezo vilivyorekodiwa. Ikiwa kituo cha mwisho kinachukua kipengee kipya, uhusiano ulikuwa sahihi tayari na hitilafu iko kwenye mnyororo wa mteja au tabaka la idhini.