Access Server^da veb-sertifikat xatosi: bosh CA toplami

Bosh ca_bundle qiymati yoki buzilgan PEM administrator interfeysini toxtatadi. Qayta ishga tushirishdan oldin sertifikat, kalit va zanjirni bitta toplam sifatida tekshiring, VPN PKI ga tegmaslik kerak.

DNS togri hal qilinayotganda yuklanmaydigan veb-kirish sahifasi odatda DNS muammosi emas. Agar xizmat jurnali sertifikatlar toplami yolini boshligini yoki veb-sertifikat va maxfiy kalit uchun PEM tahlil xatosini qayd etsa, HTTPS tinglovchisida yaroqli material yoq va nom hal qilish yordam bermaydi. Tuzatish uchta konfiguratsiya kalitida va bitta VPN mijoz sertifikatini qayta berishni talab qilmaydi.

Uch kalit aslida nimaga ishora qiladi

Maxsus veb-sertifikatlar toplami cs.cert, cs.priv_key va cs.ca_bundle bilan tavsiflanadi. Har biri fayl yolini saqlaydi va veb-xizmat uchtasini birga ishlatadi. Notogri kalitli sertifikat yoki aslida barg sertifikati bolgan zanjir fayli bosh qiymat kabi muvaffaqiyatsiz boladi.

Bu kalitlar Admin va Client veb-interfeysiga tegishli. Ular VPN mijozlariga sertifikat beradigan PKI dan ajratilgan, shuning uchun almashtirish profillar, server kaliti yoki sertifikat organiga tegishni talab qilmaydi. Butun PKI ni qayta qurish bu yerda eng qimmat xato.

Bitta farq vaqtni tejaydi: aniq bosh maxsus qiymat hech qanday bekor qilish yoqligi bilan bir xil holat emas. Birinchisi tahlilchiga bosh yol beradi, jurnal satri shuni aytadi. Ikkinchisi Access Server ni oz materialida qoldiradi.

Mavjud fayl nega baribir tahlil qilinmaydi

Tahlilchi fayl nomini emas, fayl ichidagi belgilangan bloklarni oqiydi. Maxfiy kalitli .crt, bitta blok qilib yozilgan zanjir yoki oxirgi satri kesilgan fayl rad etiladi. RFC 7468 bu belgilarni aynan keyingi obyekt turini aytadigan yagona narsa bolgani uchun belgilaydi.

Obyektlarni koring, kengaytmalarni emas. Linux xostida openssl x509 -noout -subject -issuer -in server.pem va openssl pkey -noout -check -in key.pem ikkita muhim savolga javob beradi, ikkalasining modul yoki ochiq kalitini solishtirish ularning juftligini isbotlaydi. Maxfiy kalit chiqishini chiptalar va chat jurnallaridan uzoq tuting.

Bosh yol buzilgan fayl kabi shubhali, chunki ikkalasi ham noaniq keyingi xatolarni beradi. Agar jurnal toplam yoli bosh desa, faylni tuzatishdan oldin saqlangan qiymatni oqing.

Ataylab zaxira variantiga qaytish

Access Server CLI da uchta yolni argument sifatida oladigan va toplam yaroqliligini xabar qiladigan tekshiruv bor. Quyidagi yollar misol; ularni xostdagi himoyalangan joylar bilan almashtiring.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Ishlayotgan xizmatga tegishdan oldin natijani oqing, keyin qiymatlarni import qilib, ornatilgan versiya uchun hujjatlashtirilgan amal bilan qollang. rasmiy CLI qollanmasi tekshiruv, import va qollash bosqichini qamrab oladi va uning versiyasi har qanday xulosadan muhimroq.

Foydalanuvchilar yozadigan nomni tekshirish

Maxsus material buzilgan va yaroqli ornatilgan zaxira hali mavjud bolsa, hujjatlashtirilgan tiklash uchta bekor qilishni olib tashlash va Access Server ga osha zaxirani ishlatishga ruxsat berishdir. Avval konsolga kirish va joriy konfiguratsiya nusxasini tayyorlang.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Butun konfiguratsiya bazasini ochirish sertifikat tamiri emas. Osha uchta kalitni nishonga oling, qollang va veb-interfeys javob berishini tasdiqlang. web-ssl katalogidagi oz-ozidan imzolangan fayllar zaxira resursi, ish joyi emas.

Zaxira kuchga kirgach brauzer boshqa sertifikat korsatishini kuting. Bu togri natija; uni ishonchli mamuriy jarayoningiz orqali tekshiring.

Tiklash faqat muvaffaqiyatli kirishdan keyin tugaydi

TCP tinglovchisi paydo bolganda tiklash tugamaydi. DNS nomini, sertifikat shaxsini va shu nom uchun zanjirni tekshiring, keyin Admin va Client veb-interfeyslarini yuklab, kirishni yakunlang. Port tekshiruvi bularning hech birini isbotlamaydi.

Access Server 3.1 va undan keyingilari har bir SNI xost nomi uchun turli veb-sertifikatlar taqdim etishi mumkin. Bu sozlangan bolsa, standart kalitlar va nomga xos yozuvlar alohida toplamlar bolib, IP manzil orqali sinash foydalanuvchilar oladiganidan boshqa sertifikatni oson korsatadi. Muvaffaqiyatsiz nom toplamini tuzating va tekshiring, hodisani yopishdan oldin kirish sinovini takrorlang.

O'xshash maqolalar