Access Server இல் வலைச் சான்றிதழ் பிழை: வெற்று CA தொகுப்பு

DNS சரியாகத் தீர்க்கப்படும்போது ஏற்றப்படாத வலை உள்நுழைவுப் பக்கம் பொதுவாக DNS சிக்கல் அல்ல. சேவைப் பதிவில் வெற்று சான்றிதழ்த் தொகுப்புப் பாதை அல்லது வலைச் சான்றிதழ் மற்றும் தனிப்பட்ட விசைக்கான PEM பகுப்பு தோல்வி குறிப்பிடப்பட்டால், HTTPS கேட்பான் பயன்படுத்தக்கூடிய பொருள் இல்லை, பெயர்த் தீர்வு உதவாது. சரிசெய்தல் மூன்று கட்டமைப்பு விசைகளில் உள்ளது, ஒரு VPN வாடிக்கையாளர் சான்றிதழையும் மீண்டும் வழங்க வேண்டியதில்லை.

மூன்று விசைகள் உண்மையில் எதைக் குறிக்கின்றன

தனிப்பயன் வலைச் சான்றிதழ் தொகுப்பு cs.cert, cs.priv_key மற்றும் cs.ca_bundle ஆல் விவரிக்கப்படுகிறது. ஒவ்வொன்றும் ஒரு கோப்புப் பாதையைச் சேமிக்கிறது, வலைச் சேவை மூன்றையும் சேர்த்து பயன்படுத்துகிறது. தவறான விசையுள்ள சான்றிதழ் அல்லது உண்மையில் இலைச் சான்றிதழாக இருக்கும் சங்கிலிக் கோப்பு வெற்று மதிப்பைப் போலவே தோல்வியடைகிறது.

இந்த விசைகள் Admin மற்றும் Client வலை இடைமுகத்திற்கானவை. அவை VPN வாடிக்கையாளர்களுக்குச் சான்றிதழ் வழங்கும் PKI யிலிருந்து தனித்தவை, எனவே மாற்றுவதற்கு சுயவிவரங்கள், சேவையக விசை அல்லது சான்றிதழ் அதிகாரத்தைத் தொட வேண்டியதில்லை. முழு PKI யையும் மீண்டும் கட்டுவது இங்கே மிக விலையுயர்ந்த தவறு.

ஒரு வேறுபாடு நேரத்தைச் சேமிக்கிறது: வெளிப்படையாக வெற்று தனிப்பயன் மதிப்பு எந்த மேலெழுதுதலும் இல்லாத நிலையுடன் ஒன்றல்ல. முதலாவது பகுப்பாய்விக்கு வெற்றுப் பாதையைக் கொடுக்கிறது, பதிவு வரி அதையே கூறுகிறது. இரண்டாவது Access Server ஐ அதன் சொந்தப் பொருளிலேயே விடுகிறது.

இருக்கும் கோப்பு ஏன் இன்னும் பகுக்கப்படவில்லை

பகுப்பாய்வி கோப்பின் பெயரையல்ல, கோப்பின் உள்ளேயுள்ள லேபிள் தொகுதிகளைப் படிக்கிறது. தனிப்பட்ட விசையுள்ள .crt, ஒரே தொகுதியாக எழுதப்பட்ட சங்கிலி அல்லது இறுதி வரி வெட்டப்பட்ட கோப்பு நிராகரிக்கப்படுகின்றன. RFC 7468 அந்த லேபிள்களை வரையறுப்பது, அடுத்த பொருளின் வகையைக் கூறும் ஒரே வழி அவையே என்பதால்.

பொருள்களைப் பாருங்கள், நீட்டிப்புகளை அல்ல. Linux இல் openssl x509 -noout -subject -issuer -in server.pem மற்றும் openssl pkey -noout -check -in key.pem இரண்டு முக்கியக் கேள்விகளுக்குப் பதிலளிக்கின்றன, இரண்டின் மட்டு அல்லது பொது விசையை ஒப்பிடுவது அவை இணை என்பதை நிரூபிக்கிறது. தனிப்பட்ட விசை வெளியீட்டைப் பயணச்சீட்டு மற்றும் அரட்டைப் பதிவுகளிலிருந்து விலக்கி வையுங்கள்.

வெற்றுப் பாதை சிதைந்த கோப்பைப் போலவே சந்தேகத்திற்குரியது, ஏனெனில் இரண்டும் தெளிவற்ற பிந்தைய பிழைகளைத் தருகின்றன. பதிவு தொகுப்புப் பாதை வெற்று எனக் கூறினால், கோப்பைப் பிழைதிருத்தும் முன் சேமித்த மதிப்பைப் படியுங்கள்.

வேண்டுமென்றே காப்பு வழிக்குத் திரும்புங்கள்

Access Server இன் CLI இல் மூன்று பாதைகளை அளவுருக்களாக எடுத்து, தொகுப்பு பயன்படுத்தக்கூடியதா எனத் தெரிவிக்கும் சரிபார்ப்பு உள்ளது. கீழேயுள்ள பாதைகள் எடுத்துக்காட்டுகள்; அவற்றை ஹோஸ்ட்டின் பாதுகாக்கப்பட்ட இடங்களால் மாற்றுங்கள்.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

இயங்கும் சேவையைத் தொடுவதற்கு முன் முடிவைப் படியுங்கள், பின்னர் மதிப்புகளை இறக்குமதி செய்து நிறுவப்பட்ட பதிப்பிற்கான ஆவணப்படுத்தப்பட்ட செயல்பாட்டால் பயன்படுத்துங்கள். அதிகாரப்பூர்வ CLI பயிற்சி சரிபார்ப்பு, இறக்குமதி மற்றும் பயன்பாட்டுப் படியை உள்ளடக்குகிறது, அதன் பதிப்பு எந்தச் சுருக்கத்தையும் விட முக்கியம்.

பயனர்கள் உண்மையில் தட்டச்சு செய்யும் பெயரைச் சரிபார்க்கவும்

தனிப்பயன் பொருள் சேதமடைந்து, செல்லுபடியான உள்ளமைந்த காப்பு இன்னும் இருந்தால், ஆவணப்படுத்தப்பட்ட மீட்பு மூன்று மேலெழுதுதல்களை நீக்கி Access Server அந்தக் காப்பைப் பயன்படுத்த விடுவதாகும். முதலில் console அணுகலையும் தற்போதைய கட்டமைப்பின் நகலையும் தயார் செய்யுங்கள்.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

முழு கட்டமைப்புத் தரவுத்தளத்தையும் அழிப்பது சான்றிதழ் பழுது அல்ல. அந்த மூன்று விசைகளை இலக்காகக் கொண்டு, பயன்படுத்தி, வலை இடைமுகம் பதிலளிப்பதை உறுதிப்படுத்துங்கள். web-ssl அடைவிலுள்ள சுய-கையொப்பமிட்ட கோப்புகள் காப்பு ஆதாரம், வேலை இடம் அல்ல.

காப்பு அமலுக்கு வந்த பிறகு உலாவி வேறு சான்றிதழைக் காட்டும் என எதிர்பாருங்கள். அதுவே சரியான முடிவு; நம்பகமான நிர்வாகச் செயல்முறையில் அதைச் சரிபார்க்கவும்.

வெற்றிகரமான உள்நுழைவுக்குப் பிறகே மீட்பு முடிகிறது

TCP கேட்பான் தோன்றியதும் மீட்பு முடிவடையாது. DNS பெயர், சான்றிதழ் அடையாளம் மற்றும் அந்தப் பெயருக்கான சங்கிலியைச் சரிபார்த்து, பின்னர் Admin மற்றும் Client இடைமுகங்களை ஏற்றி உள்நுழைவை முடிக்கவும். போர்ட் சோதனை இவை எதையும் நிரூபிக்காது.

Access Server 3.1 மற்றும் அதற்குப் பிறகு ஒவ்வொரு SNI ஹோஸ்ட் பெயருக்கும் வேறு வலைச் சான்றிதழ்களை வழங்கலாம். அவ்வாறு கட்டமைக்கப்பட்டிருந்தால், இயல்புநிலை விசைகளும் பெயர் சார்ந்த பதிவுகளும் தனித்தனி தொகுப்புகள், IP முகவரியால் சோதிப்பது பயனர்கள் பெறுவதிலிருந்து வேறுபட்ட சான்றிதழை எளிதில் காட்டும். தோல்வியடைந்த பெயரின் தொகுப்பைச் சரிசெய்து சரிபார்த்து, சம்பவத்தை மூடும் முன் உள்நுழைவுச் சோதனையை மீண்டும் செய்யுங்கள்.