Client VPN సర్టిఫికెట్ను తిరిగి దిగుమతి చేయడానికి కొత్త ఎండ్పాయింట్ ఎందుకు అవసరం

Client VPN కనెక్షన్ తెగిపోతుంది, ACM లోని సర్టిఫికెట్ భర్తీ చేయబడుతుంది, ఏమీ మారదు. సర్టిఫికెట్ ఆబ్జెక్ట్ ఎండ్పాయింట్ ఉపయోగించిన వస్తువు ఎప్పుడూ కాదు. ఎండ్పాయింట్ సృష్టి సమయంలో సర్టిఫికెట్తో అనుబంధాన్ని నిల్వ చేస్తుంది, దానితో పాటు అది ధృవీకరించే క్లయింట్ CA, ప్రామాణీకరణ రకం, సబ్నెట్లు మరియు అనుమతి నియమాలు, మరియు ఈ అనుబంధాలలో ఏదీ ప్రత్యామ్నాయ సర్టిఫికెట్ను ఆమోదించే మార్పు కాల్ కలిగి లేదు. ARN వెనుక ఉన్న బైట్లను భర్తీ చేయడం సర్టిఫికెట్లో మార్పు, దాన్ని పట్టుకున్న ఎండ్పాయింట్లో కాదు.

ఎండ్పాయింట్ సర్టిఫికెట్లు కాదు, సూచనలను నిల్వ చేస్తుంది

ఈ యంత్రాంగాన్ని ఖచ్చితంగా చెప్పడం విలువైనది, ఎందుకంటే ఇది మొత్తం వైఫల్యాన్ని వివరిస్తుంది. create-client-vpn-endpoint సర్వర్ సర్టిఫికెట్ యొక్క ARN మరియు క్లయింట్ రూట్ సర్టిఫికెట్ గొలుసు యొక్క ARN తీసుకుంటుంది, మరియు ఫలితంగా వచ్చే ఎండ్పాయింట్ ఆ సూచనలను ప్రామాణీకరణ ఎంపికలతో పాటు స్థిర లక్షణాలుగా ఉంచుతుంది. API ఇప్పటికే ఉన్న ఎండ్పాయింట్పై సర్వర్ సర్టిఫికెట్ను మార్చే ఏ ఆపరేషన్ను అందించదు.

ఊహించకుండా మీరు అనుబంధాన్ని ధృవీకరించవచ్చు. aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 సర్టిఫికెట్ యొక్క ARN, క్లయింట్ రూట్ గొలుసు యొక్క ARN, ప్రామాణీకరణ రకం, క్లయింట్ CIDR మరియు సంబంధిత సబ్నెట్లను ముద్రిస్తుంది, ఇది మీరు తిరిగి ఉత్పత్తి చేయాల్సిన లక్షణాల పూర్తి సమితి. తిరిగి దిగుమతికి ముందు మరియు తర్వాత దీన్ని నడపండి, అవుట్పుట్ కదలదు. తిరిగి దిగుమతి ఎప్పటికీ సహాయపడేది కాదు అనడానికి అదే రుజువు.

తిరిగి దిగుమతి ఎండ్పాయింట్ను ఎందుకు చేరుకోలేదు

తిరిగి దిగుమతి ఇప్పటికే ఉన్న ARN కింద కొత్త సర్టిఫికెట్ బాడీని వ్రాస్తుంది. సర్టిఫికెట్ గడువు ముగింపుకు దగ్గరగా ఉన్నప్పుడు ఇది చట్టబద్ధమైన ఆపరేషన్, మరియు ప్రైవేట్ కీ సరిపోలి గొలుసు ధృవీకరణ జరిగితే ACM దాన్ని ఆమోదిస్తుంది. కానీ ఎండ్పాయింట్ సృష్టి సమయపు ధృవీకరణను తిరిగి నడపదు, కాబట్టి అనుబంధం మరియు దాని వెనుక ఉన్న పదార్థం ఎండ్పాయింట్ నిర్మించినప్పటి స్థితిలోనే ఉంటాయి.

అందుకే లక్షణం నెట్వర్క్ వైఫల్యంలా వినిపిస్తుంది. అనుమతి మూల్యాంకనం జరగకముందే TLS హ్యాండ్షేక్ విఫలమవుతుంది లేదా రీసెట్ అవుతుంది, కాబట్టి భద్రతా సమూహాలు, మార్గాలు మరియు అనుమతి నియమాలు అన్నీ నిర్దోషంగా కనిపిస్తాయి, నిజంగానే అవి నిర్దోషం.

గొలుసు క్లయింట్ సర్టిఫికెట్లో భాగం

వైఫల్యంలో రెండో సగం క్లయింట్ సర్టిఫికెట్లో ఉంది, దాన్ని పక్కన పెట్టడం సులభం. క్లయింట్ సర్టిఫికెట్ దాన్ని జారీ చేసిన గొలుసుతో పాటు దిగుమతి చేయాలి, దిగుమతి ఫారం ఆ క్షేత్రాన్ని ఐచ్ఛికంగా చూపించినా. గొలుసు లేకుండా ఎండ్పాయింట్ క్లయింట్ సర్టిఫికెట్ నుండి అది కాన్ఫిగర్ చేయబడిన క్లయింట్ రూట్ CA వరకు మార్గాన్ని నిర్మించలేదు, మరియు కనెక్షన్ ప్యాకెట్లను పడేసే ఫైర్వాల్లా వినిపించే మృదువైన రీసెట్తో ముగుస్తుంది. openssl verify -CAfile root-ca.pem client.crt ఆ ప్రశ్నకు స్థానికంగా ఒక సెకనులో సమాధానం ఇస్తుంది, మరియు మీరు నడపాల్సిన మొదటి ఆదేశం అదే అయి ఉండాలి.

గొలుసుతో తిరిగి దిగుమతి ఆ సగానికి నిజమైన సవరణ, అయినా ఒంటరిగా సరిపోదు. ACM ఆబ్జెక్ట్ మారిన తర్వాత పాత అనుబంధాన్ని కలిగి ఉన్న ఎండ్పాయింట్ పరీక్ష కొనసాగించడానికి తప్పు వస్తువు. రెండు దశలు ఒకే మరమ్మత్తుకు చెందుతాయి, అందుకే రెండు-భాగాల సవరణ విరుద్ధం కాదు.

ఎండ్పాయింట్ను తిరిగి సృష్టించడం ఒక మైగ్రేషన్

ప్రత్యామ్నాయ ఎండ్పాయింట్ను సృష్టించడం మైగ్రేషన్, తిరిగి ప్రయత్నం కాదు, మరియు దాన్ని తిరిగి ప్రయత్నంగా పరిగణించడమే బృందాలు సగం కాన్ఫిగర్ చేయబడిన రెండు ఎండ్పాయింట్లతో ముగిసే మార్గం. కొత్త ఎండ్పాయింట్ కొత్త ID పొందుతుంది మరియు, మీరు ప్రణాళిక వేయకపోతే, ప్రతి వినియోగదారుకు కొత్త DNS పేరు పొందుతుంది. క్లయింట్ ప్రొఫైల్ను చిరునామా వైపు కాదు, పేరు వైపు చూపిస్తూ ఉంచండి, అప్పుడు మార్పిడి పునఃపంపిణీ కాదు, రికార్డు మార్పు అవుతుంది.

దీన్ని సురక్షితంగా ఉంచే క్రమం చిన్నది: అదే CIDR, సబ్నెట్లు మరియు అనుమతి నియమాలతో కొత్త ఎండ్పాయింట్ను సృష్టించండి, aws ec2 export-client-vpn-client-configuration తో తాజా ప్రొఫైల్ను ఎగుమతి చేయండి, మరియు ఒక వినియోగదారుతో ధృవీకరించండి. ఆ తర్వాతే పాత ఎండ్పాయింట్ కిందకు దిగుతుంది.

పాత ఎండ్పాయింట్ను సేవ నుండి తీసివేయడానికి దాని సొంత క్రమం ఉంది. దాన్ని తొలగించే ముందు తీసివేయాలనుకున్న క్లయింట్ సర్టిఫికెట్లను రద్దు చేయండి, ఎందుకంటే పాత CA ను ఇంకా నమ్ముతున్న కొత్త ఎండ్పాయింట్ పోయాయని మీరు భావించిన సర్టిఫికెట్లను ఆమోదిస్తూనే ఉంటుంది. తర్వాత పాత ఎండ్పాయింట్ను తొలగించి దాని అనుమతి నియమాలను తీసివేయండి, పాత ప్రొఫైల్ మీరు మూసివేసినట్లు భావించిన లక్ష్య నెట్వర్క్కు తిరిగి కనెక్ట్ కాకుండా. పాత ఎండ్పాయింట్ ID మరియు అనుబంధ గుర్తింపులను మార్పు రికార్డులో రాయండి, ఎందుకంటే జ్ఞాపకంతో పోల్చిన మైగ్రేషనే పనిచేసే ఎండ్పాయింట్ రెండుసార్లు తిరిగి నిర్మించబడే మార్గం.

నిర్ధారణను క్రమబద్ధీకరించండి

ఏదైనా కాన్ఫిగరేషన్ మార్చే ముందు మూడు వైఫల్యాలను వేరు చేయండి. క్లయింట్ TLS పూర్తి చేయలేదు, క్లయింట్ TLS పూర్తి చేస్తుంది కానీ అనుమతి లేదు, లేదా క్లయింట్ కనెక్ట్ అవుతుంది కానీ గమ్యాన్ని చేరుకోలేదు. సర్టిఫికెట్ అనుబంధం మొదటిదానికి చెందుతుంది, క్లయింట్ చిరునామాను కవర్ చేయని అనుమతి నియమం రెండోదానికి, మరియు మార్గం లేదా భద్రతా సమూహం మూడోదానికి, అక్కడ ఎండ్పాయింట్ను తిరిగి సృష్టించడం దాదాపు ఎల్లప్పుడూ తప్పు అడుగు.

నెలల పాటు పనిచేసి తర్వాత సర్టిఫికెట్ లేదా విధాన మార్పు లేకుండా ఆగిపోయిన ఎండ్పాయింట్ ప్రత్యేక సందర్భం. అదే సెట్టింగ్లతో తిరిగి నిర్మించడం సేవను పునరుద్ధరించవచ్చు, కానీ అది కాన్ఫిగరేషన్ను పునరుత్పాదనీయంగా ఉంచడానికి కారణం, ప్రతి సంఘటనలో తిరిగి నిర్మించడానికి కారణం కాదు.

తదుపరి పునర్నిర్మాణం ఆశువుగా కాదు, diffగా ఉండాలంటే నాలుగు విషయాలను వెర్షన్ నియంత్రణలో ఉంచండి: ఎండ్పాయింట్ పారామితులు, సర్టిఫికెట్ మరియు గొలుసు యొక్క ARN, అనుమతి నియమాలు మరియు క్లయింట్ CIDR. Client VPN ప్రామాణీకరణ పత్రం ఏ సర్టిఫికెట్ ఏ పాత్ర పోషిస్తుందో జాబితా చేస్తుంది, సర్టిఫికెటే సమస్య అని భావించే ముందు దాన్ని తనిఖీ చేయడం విలువైనది. తిరిగి దిగుమతి ఏమీ మార్చకపోతే మరియు ఎండ్పాయింట్ ఇంకా రీసెట్ అవుతుంటే, అనుమానితం అనుబంధమే మరియు సమాధానం నమోదు చేసిన పారామితుల నుండి నిర్మించిన కొత్త ఎండ్పాయింట్. ఎండ్పాయింట్ కొత్త ఆబ్జెక్ట్ను స్వీకరిస్తే, అనుబంధం ఇప్పటికే సరైనది మరియు లోపం క్లయింట్ గొలుసులో లేదా అనుమతి పొరలో ఉంది.