SoftEther ServerCertSet: vpncmd மூலம் புதுப்பிக்கப்பட்ட சங்கிலியை இறக்குமதி செய்யுங்கள்

Certbot வெற்றிகரமான புதுப்பித்தலைத் தெரிவிக்கிறது, வட்டில் உள்ள கோப்புகள் புதிய தேதிகளைக் கொண்டுள்ளன, வாடிக்கையாளர்கள் இன்னும் பழைய அடையாளத்தைச் சந்திக்கிறார்கள். SoftEther தனது SSL சேவையகச் சான்றிதழைத் தனது சொந்த சேவையக அளவிலான அமைப்பில் வைத்திருக்கிறது, எனவே வட்டில் உள்ள புதிய கோப்பு இலை மற்றும் அதன் விசை இறக்குமதி செய்யப்படும் வரை எதையும் மாற்றாது. கீழே உள்ள வரிசை ஒரு கைமுறை இறக்குமதி, ஒவ்வொரு புதுப்பித்தலுக்குப் பிறகும் இயங்கும் மேலுறை, மற்றும் கேட்பான் உண்மையில் எதை முன்வைக்கிறது என்பதைப் படிக்கும் சரிபார்ப்பு ஆகியவற்றை உள்ளடக்குகிறது. ஒவ்வொரு படிநிலையும் அடுத்த புதுப்பித்தலுக்குப் பிறகு ஒப்பிடக்கூடிய சான்றுகளை விட்டுச் செல்கிறது.

புதுப்பிக்கப்பட்ட கோப்பு சேவையகத்தின் அடையாளத்தை மாற்றாது

வழங்குதல் மற்றும் பயன்படுத்துதல் தனித்தனி நிகழ்வுகள், தனித்தனி தோல்வி முறைகளுடன். ACME வாடிக்கையாளர் கோப்புகளை ஒரு வம்ச அடைவில் எழுதி வெற்றியைப் பதிவு செய்கிறது; SoftEther தனது அமைப்பில் கடைசியாக ஏற்றப்பட்ட சான்றிதழையே தொடர்ந்து பயன்படுத்துகிறது. எனவே பூஜ்ஜிய வெளியேறு நிலை கோப்புகளை விவரிக்கிறது, சேவையை அல்ல, யாரும் பார்க்காத வரை இரண்டும் வேறுபடலாம். இறக்குமதியை பயன்படுத்தல் படிநிலையாகவும், புதுப்பித்தலை அதன் உள்ளீடாகவும் கருதுங்கள்.

இந்த வேறுபாடு குழப்பமான பாதி-தோல்வியையும் விளக்குகிறது: பழைய சான்றிதழ் அதன் காலாவதி வரை வேலை செய்கிறது, எனவே ஆரம்பத்தில் எதுவும் உடைந்ததாகத் தெரியவில்லை. அது காலாவதியாகும்போது அனைத்து வாடிக்கையாளர்களும் ஒரே நேரத்தில் தோல்வியடைகிறார்கள், இது தவறவிட்ட பயன்படுத்தல் படிநிலையைப் போலல்லாமல் ஒரு இடைநிறுத்தம் போலத் தெரிகிறது. ஒவ்வொரு புதுப்பித்தலுக்குப் பிறகும் முன்வைக்கப்படும் அடையாளத்தைச் சரிபார்ப்பது அந்த ஆச்சரியத்தை வழக்கமான கண்காணிப்பாக மாற்றுகிறது.

கேட்பானுக்குப் பொருந்தும் சவாலைத் தேர்ந்தெடுங்கள்

சான்றிதழில் வாடிக்கையாளர்கள் சரிபார்க்கும் புரவன் பெயர் இருக்க வேண்டும், எனவே உள் லேபிள் அல்லது முகவரிக்குப் பதிலாக பொது DNS பெயரைப் பயன்படுத்துங்கள். HTTP-01 க்கு சவாலுக்கு ஒரு கணம் துறைமுகம் 80 இல் பதில் அளிக்க வேண்டும், அது தற்காலிக கேட்பான், SoftEther இன் சொந்தத் துறைமுகத்தை நகர்த்துவதற்கான காரணம் ஒருபோதும் அல்ல. DNS-01 ஒரு பதிவின் மூலம் கட்டுப்பாட்டை நிரூபிக்கிறது, உள்வரும் HTTP தேவையே இல்லை.

கண்காணிப்பற்ற புதுப்பித்தல் என்பது ஒரு மண்டலத்திற்கு மட்டுப்படுத்தப்பட்ட சான்றுகளுடன் தானியங்கி DNS ஒருங்கிணைப்பு, ஒவ்வொரு இரண்டு மாதங்களுக்கும் கையால் தட்டச்சு செய்யும் TXT பதிவு அல்ல. வைல்ட்கார்டு சவாலின் வகையை மாற்றுகிறது, அந்த தானியங்கியின் தேவையை அல்ல. முதல் சான்றிதழ் இருப்பதற்கு முன்பே இதை முடிவு செய்யுங்கள், ஏனெனில் பின்னர் சவால் வகையை மாற்றுவது வாடிக்கையாளர் அமைப்பையும் தீச்சுவரையும் ஒரே நேரத்தில் தொடுவது.

இங்கிருக்கும் வரை கலைப்பொருட்களை ஒழுங்காக வைத்திருங்கள். இலையும் இடைநிலைச் சான்றிதழ்களும் தனித்தனி கோப்புகளாகவும் ஒரு இணைந்த சங்கிலிக் கோப்பாகவும் வருகின்றன, தனிச்சாவி மீண்டும் தனியாக உள்ளது, இறக்குமதிக்கு அதனுடன் பொருந்தும் விசையுடன் சங்கிலி தேவை, தனியான பொது சான்றிதழ் அல்ல.

சங்கிலியை சேவையக அளவில் இறக்குமதி செய்யுங்கள்

சான்றிதழைத் தொடுவதற்கு முன் சேவையக அமைப்பின் காப்புப்பிரதியை எடுத்து நிர்வாக இடைமுகத்தை இன்னும் அடைய முடியுமா என்பதை உறுதிப்படுத்துங்கள். Virtual Hub நிர்வாகியாக அல்ல, சேவையக நிர்வாகியாக இணையுங்கள், ஏனெனில் சான்றிதழ் சேவையகப் பொருளுக்குச் சொந்தமானது. பின்னர் சங்கிலியையும் விசையையும் முழுமையான பாதையில் ஏற்றுங்கள், கட்டளையை இயக்கும் கணக்கு படிக்கக்கூடிய கோப்புகளிலிருந்து. பாதைகள் முழுமையானவை, ஏனெனில் கட்டளை அவற்றை vpncmd இயக்கிய செயல்முறையின் பணி அடைவிலிருந்து தீர்க்கிறது:

ServerCertSet /LOADCERT:/etc/letsencrypt/live/vpn.example.com/fullchain.pem /LOADKEY:/etc/letsencrypt/live/vpn.example.com/privkey.pem

வெற்றியை ஊகிப்பதற்குப் பதிலாக கட்டளையின் வெளியீட்டைப் படியுங்கள், பின்னர் நீங்கள் கொடுத்த கோப்பை நம்புவதற்குப் பதிலாக சங்கிலியை மீண்டும் படியுங்கள். முழு PEM தொகுப்பை இறக்குமதி செய்யும் கட்டுமானங்களுக்கும் முதல் சான்றிதழை மட்டும் எடுக்கும் கட்டுமானங்களுக்கும் இடையிலான எல்லை ஒரே இடத்தில் ஆவணப்படுத்தப்படவில்லை, எனவே உங்கள் முன் உள்ள கட்டுமானத்திற்கு சரிபார்ப்பே தீர்மானிக்கிறது. கேட்பான் முன்வைக்கும் சான்றிதழ்களை எண்ணுங்கள்; இடைநிலைகள் இல்லாத இலை என்பது முதல் தொகுதியை மட்டுமே பயன்படுத்திய இறக்குமதியாளரின் கையொப்பம்.

இறக்குமதி செய்யப்பட்ட விசையை சேவையகத்தை இயக்கும் கணக்கிற்கு மட்டும் படிக்கக்கூடியதாக வைத்திருங்கள், நிர்வாகக் கடவுச்சொல்லை ஷெல் வரலாற்றுக்கு வெளியே வைத்திருங்கள். இந்த முதல் இறக்குமதிக்கு கடவுச்சொல்லை கட்டளை வாதமாக வழங்குவதற்குப் பதிலாக கேட்பில் தட்டச்சு செய்யுங்கள். இந்த இரண்டு பழக்கங்களும் எதுவும் செலவாகாது, சான்றிதழ் பயன்படுத்தல் தான் காக்க வேண்டிய ஒன்றைக் கசியவிடும் மிகவும் பொதுவான வழியை நீக்குகின்றன. இதை முதல் இறக்குமதிக்கு முன் செய்யுங்கள், பின்னர் அல்ல.

பயன்படுத்தலை இணையுங்கள், புதுப்பித்தலை அல்ல

கைமுறை இறக்குமதி வேலை செய்ததும், அதே படிநிலைகளை ஒரு சிறிய மேலுறையில் வைத்து வெற்றிகரமான புதுப்பித்தலுக்குப் பிறகு ACME வாடிக்கையாளரிலிருந்து அதை அழையுங்கள். Certbot கொக்கிக்கு RENEWED_LINEAGE மற்றும் RENEWED_DOMAINS ஐ அமைக்கிறது, எனவே பல சான்றிதழ்களை நிர்வகிக்கும் இயந்திரத்திலும் மேலுறை ஒரு சான்றிதழில் செயல்பட முடியும். புரவனில் உள்ள ஒவ்வொரு புதுப்பித்தலுக்கும் பிரதிபலிப்பதற்குப் பதிலாக வம்சத்தின் அடிப்படையில் வடிகட்டுங்கள். மேலுறை சேவையகத்தின் சிறப்புரிமைகளுடன் இயங்கும் பயன்படுத்தல் குறியீடு, எனவே அந்த இடத்தில் உள்ள வேறு எந்த ஸ்கிரிப்ட் போலவும் அதை மதிப்பாய்வு செய்யுங்கள்.

certbot renew --deploy-hook /usr/local/sbin/softether-deploy.sh

கண்காணிப்பின்றி இயங்கும் கொக்கிக்கு அதன் சொந்தப் பாதுகாக்கப்பட்ட சான்று இருப்பகமும் மனிதனை அடையும் தோல்வி சமிக்ஞையும் தேவை. வழங்குதல் வெற்றியாகி இறக்குமதி தோல்வியடைந்தால், மற்றொரு சான்றிதழைக் கோருவதற்குப் பதிலாக இறக்குமதியை மீண்டும் முயலுங்கள், ஏனெனில் இரண்டாவது கோரிக்கை பயன்படுத்தல் குறையைப் புதிய கோப்பின் பின்னால் மறைக்கிறது. Certbot புதுப்பித்தல் ஆவணம் எதையும் புதுப்பிக்காத ஒரு ஓட்டம் சாதாரண முடிவு என்று தெளிவாகக் கூறுகிறது, எனவே இரண்டையும் வேறுபடுத்துவது கொக்கிதான்.

முன்வைக்கப்பட்ட சங்கிலியைக் கோப்புடன் ஒப்பிடுங்கள்

வட்டை அல்ல, கேட்பானைப் படியுங்கள். வாடிக்கையாளர்கள் பயன்படுத்தும் சேவையகப் பெயருடன் வாடிக்கையாளர் நோக்குத் துறைமுகத்தில் இணைந்து, பின்னர் கைரேகையையும் வழங்கப்பட்ட சங்கிலியையும் கொக்கி நிறுவிய வம்சத்துடன் ஒப்பிடுங்கள். இரண்டு கட்டளைகள் இதை உள்ளடக்குகின்றன, முதலாவது இடைநிலைகள் வருமா என்பதையும் காட்டுகிறது:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | grep -c 'BEGIN CERTIFICATE'
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -fingerprint -sha256

பின்னர் புதிய வாடிக்கையாளர் இணைப்பை உருவாக்குங்கள், ஏனெனில் இறக்குமதிக்கு முன் நிறுவப்பட்ட அமர்வுகள் முந்தைய அடையாளத்திற்கு எதிராக அங்கீகரிக்கப்பட்டவை, புதியதைப் பற்றி எதையும் நிரூபிக்கவில்லை. வாடிக்கையாளர்கள் பழைய இலையைப் பொருத்தினால், பொது சங்கிலி செல்லுபடியாக இருந்தாலும் அவர்களுக்கு ஒருங்கிணைந்த புதுப்பிப்பு தேவை, அந்த வேலை புதுப்பித்தலின் அதே இயக்கக் கையேட்டிற்கு உரியது. சேவைக்கு முன்னால் உள்ள தலைகீழ் பதிலாளி நல்ல சான்றிதழை முன்வைக்கலாம், ஆனால் VPN கேட்பான் இன்னும் பழையதை வைத்திருக்கலாம், எனவே சரிபார்ப்பு வாடிக்கையாளர்கள் உண்மையில் அடையும் துறைமுகத்தைக் குறிப்பிட வேண்டும். புதுப்பித்தல் தேதிக்கு அருகில் கைரேகையைப் பதிவு செய்யுங்கள், அடுத்த ஒப்பீடு நினைவின் செயலாக அல்ல, சரிபார்ப்பாக இருக்கட்டும்.