Access Server^da web sertifikası hatası: boş CA paketi

Boş ca_bundle değeri veya bozuk bir PEM, yönetim arayüzünü durdurur. Yeniden başlatmadan önce sertifika, anahtar ve zinciri tek bir küme olarak doğrulayın ve VPN PKI^sına dokunmayın.

DNS doğru çözülürken yüklenmeyen bir web oturum açma sayfası genellikle DNS sorunu değildir. Hizmet günlüğü boş bir sertifika paketi yolu veya web sertifikası ile özel anahtar için PEM ayrıştırma hatasından söz ediyorsa, HTTPS dinleyicisinin kullanılabilir malzemesi yoktur ve ad çözümlemesi yardımcı olmaz. Onarım üç yapılandırma anahtarında ve tek bir VPN istemci sertifikasının yeniden verilmesini gerektirmez.

Üç anahtar gerçekte neyi gösterir

Özel web sertifikası kümesi cs.cert, cs.priv_key ve cs.ca_bundle ile tanımlanır. Her biri bir dosya yolu saklar ve web hizmeti üçünü birlikte kullanır. Yanlış anahtarlı bir sertifika veya aslında yaprak sertifika olan zincir dosyası, boş değer gibi başarısız olur.

Bu anahtarlar Admin ve Client web arayüzüne aittir. VPN istemcilerine sertifika veren PKI'den ayrıdırlar, bu yüzden değiştirmek profil, sunucu anahtarı veya sertifika otoritesine dokunmayı gerektirmez. Tüm PKI'yi yeniden kurmak buradaki en pahalı hatadır.

Bir ayrım zaman kazandırır: açıkça boş özel değer, hiç geçersiz kılma olmamasıyla aynı durum değildir. Birincisi ayrıştırıcıya boş bir yol verir, günlük satırı bunu söyler. İkincisi Access Server'ı kendi malzemesinde bırakır.

Var olan dosya neden yine de ayrıştırılamıyor

Ayrıştırıcı dosya adını değil, dosyanın içindeki etiketli blokları okur. Özel anahtar içeren .crt, tek blok olarak yazılmış zincir veya son satırı kesilmiş dosya reddedilir. RFC 7468 bu okunabilir etiketleri tanımlar çünkü hangi nesne türünün geldiğini söyleyen tek şey onlardır.

Nesneleri inceleyin, uzantıları değil. Linux sunucuda openssl x509 -noout -subject -issuer -in server.pem ve openssl pkey -noout -check -in key.pem iki önemli soruyu yanıtlar ve ikisinin modül veya açık anahtarını karşılaştırmak eşleştiklerini kanıtlar. Özel anahtar çıktısını biletlerden ve sohbet günlüklerinden uzak tutun.

Boş yol, bozuk dosya kadar şüphe hak eder, çünkü ikisi de belirsiz sonraki hatalar üretir. Günlük paket yolunun boş olduğunu söylüyorsa, dosyada hata ayıklamadan önce saklanan değeri okuyun.

Bilinçli olarak yedek yola dönün

Access Server CLI'ında üç yolu bağımsız değişken olarak alan ve kümenin kullanılabilir olup olmadığını bildiren bir doğrulama var. Aşağıdaki yollar örnektir; bunları sunucudaki korunan konumlarla değiştirin.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Çalışan hizmete dokunmadan önce sonucu okuyun, ancak ondan sonra değerleri içe aktarıp kurulu sürüm için belgelenmiş işlemle uygulayın. resmî CLI eğitimi doğrulamayı, içe aktarmayı ve uygulama adımını kapsar ve sürümü herhangi bir özetten daha önemlidir.

Kullanıcıların gerçekten yazdığı adı doğrulayın

Özel malzeme bozuksa ve geçerli yerleşik bir yedek hâlâ varsa, belgelenmiş kurtarma üç geçersiz kılmayı kaldırıp Access Server'ın o yedeği kullanmasına izin vermektir. Önce konsol erişimini ve geçerli yapılandırmanın bir kopyasını hazırlayın.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Tüm yapılandırma veritabanını silmek sertifika onarımı değildir. O üç anahtarı hedefleyin, uygulayın ve web arayüzünün yanıt verdiğini doğrulayın. web-ssl dizinindeki kendinden imzalı dosyalar yedek kaynaktır, çalışma alanı değil.

Yedek devreye girdikten sonra tarayıcının farklı bir sertifika göstermesini bekleyin. Doğru sonuç budur; güvenilir yönetim sürecinizle doğrulayın.

Kurtarma ancak başarılı oturum açmayla biter

Bir TCP dinleyicisi göründüğünde kurtarma bitmez. DNS adını, sertifikanın kimliğini ve o adın zincirini doğrulayın, sonra hem Admin hem Client web arayüzünü yükleyip oturum açmayı tamamlayın. Bağlantı noktası kontrolü bunların hiçbirini kanıtlamaz.

Access Server 3.1 ve sonrası, SNI ana bilgisayar adı başına farklı web sertifikaları da sunabilir. Bu yapılandırılmışsa varsayılan anahtarlar ve ada özgü girişler ayrı kümelerdir ve IP adresiyle test etmek, kullanıcıların aldığından farklı bir sertifika gösterebilir. Başarısız adın kümesini düzeltip doğrulayın ve olayı kapatmadan önce oturum açma testini yineleyin.

İlgili makaleler