SoftEther ServerCertSet: vpncmd తో పునరుద్ధరించిన గొలుసును దిగుమతి చేయండి

Certbot విజయవంతమైన పునరుద్ధరణను నివేదిస్తుంది, డిస్క్‌లోని ఫైల్‌లు కొత్త తేదీలను కలిగి ఉన్నాయి, మరియు క్లయింట్లు ఇప్పటికీ పాత గుర్తింపును ఎదుర్కొంటున్నారు. SoftEther తన SSL సర్వర్ సర్టిఫికెట్‌ను తన స్వంత సర్వర్-స్థాయి కాన్ఫిగరేషన్‌లో ఉంచుతుంది, కాబట్టి డిస్క్‌లో కొత్త ఫైల్ ఆకు మరియు దాని కీ దిగుమతి అయ్యే వరకు ఏదీ మారదు. క్రింది క్రమం ఒక చేతితో చేసిన దిగుమతి, ప్రతి పునరుద్ధరణ తర్వాత నడిచే రేపర్, మరియు శ్రోత వాస్తవంగా ఏమి ప్రదర్శిస్తుందో చదివే తనిఖీని కవర్ చేస్తుంది. ప్రతి దశ తదుపరి పునరుద్ధరణ తర్వాత పోల్చుకోగల రుజువులను వదిలివేస్తుంది.

పునరుద్ధరించిన ఫైల్ సర్వర్ గుర్తింపును మార్చదు

జారీ చేయడం మరియు అమలు చేయడం వేర్వేరు సంఘటనలు, వేర్వేరు వైఫల్య పద్ధతులతో. ACME క్లయింట్ ఫైల్‌లను వంశ డైరెక్టరీలో రాసి విజయాన్ని నమోదు చేస్తుంది; SoftEther తన కాన్ఫిగరేషన్‌లో చివరగా లోడ్ అయిన సర్టిఫికెట్‌ను కొనసాగిస్తుంది. కాబట్టి సున్నా నిష్క్రమణ స్థితి ఫైల్‌లను వివరిస్తుంది, సేవను కాదు, ఎవరూ చూడనంత కాలం రెండూ భిన్నంగా ఉండవచ్చు. దిగుమతిని అమలు దశగా, పునరుద్ధరణను దాని ఇన్‌పుట్‌గా పరిగణించండి.

ఈ భేదం గందరగోళకరమైన సగం-వైఫల్యాన్ని కూడా వివరిస్తుంది: పాత సర్టిఫికెట్ దాని గడువు వరకు పనిచేస్తుంది, కాబట్టి మొదట ఏదీ పగిలినట్టు కనిపించదు. అది గడువు ముగిసినప్పుడు అన్ని క్లయింట్లు ఒకేసారి విఫలమవుతాయి, ఇది తప్పిపోయిన అమలు దశలా కాకుండా అంతరాయంలా కనిపిస్తుంది. ప్రతి పునరుద్ధరణ తర్వాత ప్రదర్శించిన గుర్తింపును తనిఖీ చేయడం ఆ ఆశ్చర్యాన్ని సాధారణ పరిశీలనగా మారుస్తుంది.

శ్రోతకు సరిపోయే సవాలును ఎంచుకోండి

సర్టిఫికెట్ క్లయింట్లు ధృవీకరించే హోస్ట్‌ను పేర్కొనాలి, కాబట్టి అంతర్గత లేబుల్ లేదా చిరునామా బదులు పబ్లిక్ DNS పేరును ఉపయోగించండి. HTTP-01 సవాలుకు క్షణం పోర్ట్ 80లో సమాధానం ఇవ్వాలి, అది తాత్కాలిక శ్రోత, SoftEther యొక్క స్వంత పోర్టును కదిలించడానికి ఎప్పుడూ కారణం కాదు. DNS-01 రికార్డు ద్వారా నియంత్రణను నిరూపిస్తుంది, లోపలికి వచ్చే HTTP అవసరమే లేదు.

నిఘా లేని పునరుద్ధరణ అంటే ఒక జోన్‌కు పరిమితమైన ఆధారాలతో స్వయంచాలక DNS ఇంటిగ్రేషన్, ప్రతి రెండు నెలలకు చేతితో టైప్ చేసే TXT రికార్డు కాదు. వైల్డ్‌కార్డ్ సవాల్ రకాన్ని మారుస్తుంది, ఆ ఆటోమేషన్ అవసరాన్ని కాదు. మొదటి సర్టిఫికెట్ ఉండకముందే దీన్ని నిర్ణయించండి, ఎందుకంటే తర్వాత సవాల్ రకాన్ని మార్చడం అంటే క్లయింట్ కాన్ఫిగరేషన్ మరియు ఫైర్‌వాల్ రెండింటినీ ఒకేసారి తాకడం.

ఇక్కడ ఉన్నంత కాలం కళాఖండాలను చక్కగా ఉంచండి. ఆకు మరియు మధ్యంతర సర్టిఫికెట్లు వేర్వేరు ఫైల్‌లుగా మరియు ఒక కలిపిన గొలుసు ఫైల్‌గా వస్తాయి, ప్రైవేట్ కీ మళ్లీ వేరుగా ఉంటుంది, దిగుమతికి దానితో సరిపోయే కీతో గొలుసు కావాలి, ఒంటరి పబ్లిక్ సర్టిఫికెట్ కాదు.

గొలుసును సర్వర్ స్థాయిలో దిగుమతి చేయండి

సర్టిఫికెట్‌ను తాకే ముందు సర్వర్ కాన్ఫిగరేషన్ బ్యాకప్ తీసుకోండి మరియు నిర్వహణ ఇంటర్‌ఫేస్‌ను ఇంకా చేరుకోగలమని నిర్ధారించుకోండి. Virtual Hub నిర్వాహకుడిగా కాదు, సర్వర్ నిర్వాహకుడిగా కనెక్ట్ అవ్వండి, ఎందుకంటే సర్టిఫికెట్ సర్వర్ ఆబ్జెక్ట్‌కు చెందుతుంది. తర్వాత గొలుసు మరియు కీని సంపూర్ణ మార్గంలో లోడ్ చేయండి, ఆదేశాన్ని అమలు చేసే ఖాతా చదవగలిగే ఫైల్‌ల నుండి. మార్గాలు సంపూర్ణమని గమనించండి, ఎందుకంటే ఆదేశం వాటిని vpncmd అమలు చేసిన ప్రక్రియ యొక్క పని డైరెక్టరీ నుండి పరిష్కరిస్తుంది:

ServerCertSet /LOADCERT:/etc/letsencrypt/live/vpn.example.com/fullchain.pem /LOADKEY:/etc/letsencrypt/live/vpn.example.com/privkey.pem

విజయాన్ని ఊహించడం బదులు ఆదేశం యొక్క అవుట్‌పుట్ చదవండి, తర్వాత మీరు ఇచ్చిన ఫైల్‌ను నమ్మడం బదులు గొలుసును మళ్లీ చదవండి. పూర్తి PEM బండిల్ దిగుమతి చేసే బిల్డ్‌లు మరియు మొదటి సర్టిఫికెట్ మాత్రమే తీసుకునే బిల్డ్‌ల మధ్య సరిహద్దు ఒకే చోట నమోదు కాలేదు, కాబట్టి మీ ముందున్న బిల్డ్ కోసం తనిఖీయే నిర్ణయిస్తుంది. శ్రోత ప్రదర్శించే సర్టిఫికెట్లను లెక్కించండి; మధ్యంతరాలు లేని ఆకు మొదటి బ్లాక్‌ను మాత్రమే వాడిన దిగుమతిదారు సంతకం.

దిగుమతి చేసిన కీని సర్వర్ నడిపే ఖాతాకు మాత్రమే చదవగలిగేలా ఉంచండి, నిర్వహణ పాస్‌వర్డ్‌ను షెల్ చరిత్ర వెలుపల ఉంచండి. ఈ మొదటి దిగుమతికి పాస్‌వర్డ్‌ను ఆదేశ ఆర్గ్యుమెంట్‌గా ఇవ్వడం బదులు ప్రాంప్ట్‌లో టైప్ చేయండి. ఈ రెండు అలవాట్లు ఏమీ ఖర్చు చేయవు మరియు సర్టిఫికెట్ అమలు తాను రక్షించవలసిన దాన్ని లీక్ చేసే అత్యంత సాధారణ మార్గాన్ని తొలగిస్తాయి. ఇది మొదటి దిగుమతికి ముందు చేయండి, తర్వాత కాదు.

అమలును హుక్ చేయండి, పునరుద్ధరణను కాదు

చేతితో చేసిన దిగుమతి పనిచేసిన తర్వాత ఆ దశలనే చిన్న రేపర్‌లో పెట్టి విజయవంతమైన పునరుద్ధరణ తర్వాత ACME క్లయింట్ నుండి దాన్ని పిలవండి. Certbot హుక్ కోసం RENEWED_LINEAGE మరియు RENEWED_DOMAINS సెట్ చేస్తుంది, కాబట్టి అనేక సర్టిఫికెట్లను నిర్వహించే మెషీన్‌లో కూడా రేపర్ ఒక సర్టిఫికెట్‌పై పనిచేయగలదు. హోస్ట్‌పై ప్రతి పునరుద్ధరణకు స్పందించడం బదులు వంశం ఆధారంగా ఫిల్టర్ చేయండి. రేపర్ సర్వర్ అధికారాలతో నడిచే అమలు కోడ్, కాబట్టి ఆ స్థానంలోని ఏ ఇతర స్క్రిప్ట్ లాగానూ దాన్ని సమీక్షించండి.

certbot renew --deploy-hook /usr/local/sbin/softether-deploy.sh

నిఘా లేకుండా నడిచే హుక్‌కు దాని స్వంత రక్షిత ఆధారాల నిల్వ మరియు మనిషిని చేరే వైఫల్య సంకేతం కావాలి. జారీ విజయవంతమై దిగుమతి విఫలమైతే, మరో సర్టిఫికెట్ అడగడం బదులు దిగుమతిని మళ్లీ ప్రయత్నించండి, ఎందుకంటే రెండో అభ్యర్థన అమలు లోపాన్ని కొత్త ఫైల్ వెనుక దాచుతుంది. Certbot పునరుద్ధరణ పత్రం ఏదీ అప్‌డేట్ చేయని పరుగు సాధారణ ఫలితమని స్పష్టంగా చెబుతుంది, కాబట్టి రెండింటినీ వేరు చేసేది హుక్.

ప్రదర్శించిన గొలుసును ఫైల్‌తో పోల్చండి

డిస్క్ కాదు, శ్రోతను చదవండి. క్లయింట్లు ఉపయోగించే సర్వర్ పేరుతో క్లయింట్-ముఖ పోర్టుకు కనెక్ట్ అవ్వండి, తర్వాత వేలిముద్ర మరియు పంపిన గొలుసును హుక్ ఇన్‌స్టాల్ చేసిన వంశంతో పోల్చండి. రెండు ఆదేశాలు దీన్ని కవర్ చేస్తాయి, మొదటిది మధ్యంతరాలు వస్తాయా అని కూడా చూపిస్తుంది:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | grep -c 'BEGIN CERTIFICATE'
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -fingerprint -sha256

తర్వాత కొత్త క్లయింట్ కనెక్షన్ చేయండి, ఎందుకంటే దిగుమతికి ముందు ఏర్పాటైన సెషన్లు మునుపటి గుర్తింపుకు వ్యతిరేకంగా ధృవీకరించబడ్డాయి, కొత్త దాని గురించి ఏమీ నిరూపించవు. క్లయింట్లు పాత ఆకును పిన్ చేస్తే, పబ్లిక్ గొలుసు చెల్లుబాటు అయినా వారికి సమన్వయ అప్‌డేట్ కావాలి, ఆ పని పునరుద్ధరణతో అదే రన్‌బుక్‌లో ఉంటుంది. సేవ ముందున్న రివర్స్ ప్రాక్సీ మంచి సర్టిఫికెట్ చూపగలదు కానీ VPN శ్రోత ఇంకా పాతదాన్ని ఉంచుకోవచ్చు, కాబట్టి తనిఖీ క్లయింట్లు నిజంగా చేరుకునే పోర్టును పేర్కొనాలి. పునరుద్ధరణ తేదీ పక్కన వేలిముద్రను నమోదు చేయండి, తదుపరి పోలిక జ్ఞాపకం చర్య కాకుండా తనిఖీ అవ్వాలి.