Client VPN சான்றிதழை மீண்டும் இறக்குமதி செய்ய புதிய இறுதிப் புள்ளி ஏன் தேவை

Client VPN இணைப்பு துண்டிக்கப்படுகிறது, ACM இல் உள்ள சான்றிதழ் மாற்றப்படுகிறது, எதுவும் மாறுவதில்லை. சான்றிதழ் பொருள் இறுதிப் புள்ளி பயன்படுத்தியது ஒருபோதும் அல்ல. இறுதிப் புள்ளி உருவாக்கத்தின் போது சான்றிதழுடன் ஒரு தொடர்பைச் சேமிக்கிறது, அதோடு அது சரிபார்க்கும் கிளையண்ட் CA, அங்கீகார வகை, துணை வலையங்கள் மற்றும் அனுமதி விதிகள் ஆகியவற்றையும் நிலையான பண்புகளாக வைத்திருக்கிறது, இந்தத் தொடர்புகளில் எதற்கும் மாற்றுச் சான்றிதழை ஏற்கும் மாற்ற அழைப்பு இல்லை. ARN பின்னால் உள்ள பைட்டுகளை மாற்றுவது சான்றிதழில் ஏற்படும் மாற்றம், அதைப் பிடித்த இறுதிப் புள்ளியில் அல்ல.

இறுதிப் புள்ளி சான்றிதழ்களை அல்ல, குறிப்புகளைச் சேமிக்கிறது

இந்த இயங்குமுறையைத் துல்லியமாகக் கூறுவது மதிப்புக்குரியது, ஏனெனில் அது முழுப் தோல்வியையும் விளக்குகிறது. create-client-vpn-endpoint சேவையக சான்றிதழின் ARN மற்றும் கிளையண்ட் வேர் சான்றிதழ்ச் சங்கிலியின் ARN ஆகியவற்றை எடுக்கிறது, மற்றும் அதன் விளைவாக உருவாகும் இறுதிப் புள்ளி அந்தக் குறிப்புகளை அங்கீகார விருப்பங்களுடன் நிலையான பண்புகளாக வைத்திருக்கிறது. API தற்போதுள்ள இறுதிப் புள்ளியில் சேவையக சான்றிதழை மாற்றும் எந்தச் செயல்பாட்டையும் வழங்கவில்லை.

ஊகிக்காமல் தொடர்பை உறுதிப்படுத்தலாம். aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 சான்றிதழின் ARN, கிளையண்ட் வேர் சங்கிலியின் ARN, அங்கீகார வகை, கிளையண்ட் CIDR மற்றும் தொடர்புடைய துணை வலையங்களை அச்சிடுகிறது, இது நீங்கள் மீண்டும் உருவாக்க வேண்டிய பண்புகளின் முழுத் தொகுப்பாகும். மீண்டும் இறக்குமதிக்கு முன்னும் பின்னும் இதை இயக்கவும், வெளியீடு அசையாது. மீண்டும் இறக்குமதி ஒருபோதும் உதவியிருக்காது என்பதற்கான சான்று அதுவே.

மீண்டும் இறக்குமதி இறுதிப் புள்ளியை ஏன் அடைய முடியாது

மீண்டும் இறக்குமதி தற்போதுள்ள ARN கீழ் புதிய சான்றிதழ் உடலை எழுதுகிறது. சான்றிதழ் காலாவதியை நெருங்கும்போது இது சட்டபூர்வமான செயல்பாடு, மேலும் தனிப்பட்ட விசை பொருந்தி சங்கிலி சரிபார்ப்பு நடந்தால் ACM அதை ஏற்கும். ஆனால் இறுதிப் புள்ளியின் உருவாக்க நேரச் சரிபார்ப்பை மீண்டும் இயக்குவதில்லை, எனவே தொடர்பும் அதன் பின்னால் உள்ள பொருளும் இறுதிப் புள்ளி கட்டப்பட்ட போது இருந்தபடியே இருக்கும்.

அதனால்தான் அறிகுறி வலையமைப்புக் கோளாறு போலத் தெரிகிறது. அனுமதி மதிப்பிடப்படுவதற்கு முன்பே TLS கைகுலுக்கல் தோல்வியடைகிறது அல்லது மீட்டமைக்கப்படுகிறது, எனவே பாதுகாப்புக் குழுக்கள், வழிகள் மற்றும் அனுமதி விதிகள் அனைத்தும் குற்றமற்றவையாகத் தெரிகின்றன, அவை உண்மையிலேயே குற்றமற்றவை.

சங்கிலி கிளையண்ட் சான்றிதழின் ஒரு பகுதி

தோல்வியின் இரண்டாம் பாதி கிளையண்ட் சான்றிதழில் உள்ளது, அதைப் புறக்கணிப்பது எளிது. கிளையண்ட் சான்றிதழ் அதை வழங்கிய சங்கிலியுடன் இறக்குமதி செய்யப்பட வேண்டும், இறக்குமதிப் படிவம் அந்தப் புலத்தை விருப்பமானதாகக் காட்டினாலும். சங்கிலி இல்லாமல் இறுதிப் புள்ளி கிளையண்ட் சான்றிதழிலிருந்து அது உள்ளமைக்கப்பட்ட கிளையண்ட் வேர் CA வரை பாதையை உருவாக்க முடியாது, இணைப்பு பாக்கெட்டுகளை வீழ்த்தும் தீச்சுவர் போல ஒலிக்கும் மென்மையான மீட்டமைப்பில் முடிகிறது. openssl verify -CAfile root-ca.pem client.crt அந்தக் கேள்விக்கு உள்ளூரில் ஒரு வினாடியில் பதிலளிக்கிறது, நீங்கள் இயக்க வேண்டிய முதல் கட்டளை அதுவாகவே இருக்க வேண்டும்.

சங்கிலியுடன் மீண்டும் இறக்குமதி அந்தப் பாதிக்கு உண்மையான திருத்தம், இருந்தாலும் தனியாகப் போதுமானதல்ல. ACM பொருள் மாறிய பிறகு, பழைய தொடர்பை வைத்திருக்கும் இறுதிப் புள்ளி சோதனையைத் தொடர்வதற்குத் தவறான பொருள். இரண்டு படிகளும் ஒரே பழுதுநீக்கத்துக்கானவை, அதனால்தான் இரு-பகுதித் திருத்தம் முரண்பாடு அல்ல.

இறுதிப் புள்ளியை மீண்டும் உருவாக்குவது ஒரு இடமாற்றம்

மாற்று இறுதிப் புள்ளியை உருவாக்குவது இடமாற்றம், மீண்டும் முயற்சி அல்ல, அதை மீண்டும் முயற்சியாகக் கருதுவதே குழுக்கள் பாதி உள்ளமைக்கப்பட்ட இரண்டு இறுதிப் புள்ளிகளுடன் முடிவடையும் வழி. புதிய இறுதிப் புள்ளி புதிய ID பெறுகிறது, நீங்கள் திட்டமிடவில்லை என்றால் ஒவ்வொரு பயனருக்கும் புதிய DNS பெயர் பெறுகிறது. கிளையண்ட் சுயவிவரத்தை முகவரிக்கு அல்ல, பெயருக்கு சுட்டவைத்திருங்கள், அப்போது மாற்றம் மறுவிநியோகம் அல்ல, பதிவு மாற்றமாகும்.

இதைப் பாதுகாப்பாக வைக்கும் வரிசை சிறியது: அதே CIDR, துணை வலையங்கள் மற்றும் அனுமதி விதிகளுடன் புதிய இறுதிப் புள்ளியை உருவாக்கி, aws ec2 export-client-vpn-client-configuration மூலம் புதிய சுயவிவரத்தை ஏற்றுமதி செய்து, ஒரு பயனருடன் சரிபார்க்கவும். அதன் பிறகுதான் பழைய இறுதிப் புள்ளி கீழே இறங்கும்.

பழைய இறுதிப் புள்ளியைச் சேவையிலிருந்து நீக்குவதற்கு அதன் சொந்த வரிசை உண்டு. அதை நீக்கும் முன் நீக்க நினைத்த கிளையண்ட் சான்றிதழ்களை ரத்து செய்யுங்கள், ஏனெனில் பழைய CA ஐ இன்னும் நம்பும் புதிய இறுதிப் புள்ளி போய்விட்டதாக நீங்கள் நினைத்த சான்றிதழ்களை ஏற்றுக்கொண்டே இருக்கும். பின்னர் பழைய இறுதிப் புள்ளியை நீக்கி அதன் அனுமதி விதிகளை அகற்றுங்கள், பழைய சுயவிவரம் நீங்கள் மூடியதாக நினைத்த இலக்கு வலையமைப்புடன் மீண்டும் இணைய முடியாதபடி. பழைய இறுதிப் புள்ளியின் ID மற்றும் தொடர்பு அடையாளங்களை மாற்றப் பதிவில் எழுதுங்கள், ஏனெனில் நினைவுடன் ஒப்பிடப்படும் இடமாற்றமே செயல்படும் இறுதிப் புள்ளி இருமுறை மீண்டும் கட்டப்படும் வழி.

நோயறிதலை வரிசைப்படுத்துங்கள்

எந்த உள்ளமைவையும் மாற்றுவதற்கு முன் மூன்று தோல்விகளைப் பிரிக்கவும். கிளையண்ட் TLS ஐ முடிக்க முடியாது, கிளையண்ட் TLS ஐ முடிக்கிறது ஆனால் அனுமதிக்கப்படவில்லை, அல்லது கிளையண்ட் இணைக்கிறது ஆனால் இலக்கை அடைய முடியாது. சான்றிதழ்த் தொடர்பு முதலாவதற்கு உரியது, கிளையண்ட் முகவரியை உள்ளடக்காத அனுமதி விதி இரண்டாவதற்கு, வழி அல்லது பாதுகாப்புக் குழு மூன்றாவதற்கு, அங்கு இறுதிப் புள்ளியை மீண்டும் உருவாக்குவது எப்போதும் தவறான நடவடிக்கையாகும்.

மாதங்களாகச் செயல்பட்டு பின்னர் சான்றிதழ் அல்லது கொள்கை மாற்றம் இல்லாமல் நின்ற இறுதிப் புள்ளி தனிக் கட்டக்கதை. அதே அமைப்புகளுடன் மீண்டும் கட்டுவது சேவையை மீட்டெடுக்கலாம், ஆனால் அது உள்ளமைவை மீளுருவாக்கக்கூடியதாக வைத்திருக்கும் காரணம், ஒவ்வொரு சம்பவத்திலும் மீண்டும் கட்டுவதற்கான காரணம் அல்ல.

அடுத்த மறுகட்டமைப்பு தற்செயல் அல்ல, diff ஆக இருக்க நான்கு விஷயங்களைப் பதிப்புக் கட்டுப்பாட்டில் வையுங்கள்: இறுதிப் புள்ளி அளவுருக்கள், சான்றிதழ் மற்றும் சங்கிலியின் ARN, அனுமதி விதிகள் மற்றும் கிளையண்ட் CIDR. Client VPN அங்கீகார ஆவணம் எந்தச் சான்றிதழ் எந்தப் பங்கை வகிக்கிறது என்பதைப் பட்டியலிடுகிறது, சான்றிதழே பிரச்சினை என்று கருதுவதற்கு முன் அதைச் சரிபார்ப்பது மதிப்புக்குரியது. மீண்டும் இறக்குமதி எதையும் மாற்றவில்லை என்றால், இறுதிப் புள்ளி இன்னும் மீட்டமைக்கப்பட்டால், சந்தேகத்திற்குரியது தொடர்புதான், பதில் பதிவு செய்யப்பட்ட அளவுருக்களிலிருந்து கட்டப்பட்ட புதிய இறுதிப் புள்ளி. இறுதிப் புள்ளி புதிய பொருளை ஏற்றுக்கொண்டால், தொடர்பு ஏற்கனவே சரியானது, கோளாறு கிளையண்ட் சங்கிலியில் அல்லது அனுமதி அடுக்கில் உள்ளது.