Yangilangan VPN sertifikati: ba'zi mijozlar hali ham uni rad etadi

Yangilashdan so'ng muhitning yarmi qayta ulanadi, uchta qurilma esa rad etadi, har biri shlyuz identifikatori haqida ogohlantirish bilan. Yangilashning o'zi odatiy ish. Bu uch qurilma ushlab turgan narsa eski obyektga pin, va pin CA ro'yxati, nom tekshiruvi yoki ishonch omboridagi yozuv emas. Har qanday mijozga tegishdan oldin uchta mexanizmni solishtiring.

Bitta yangilash, ikki xatti-harakat

Qayta ulanadigan mijozlarda ishonch qarori hali o'tadi, rad etuvchilarda esa yangi sertifikat qanoatlantirmaydigan talab bor. Bu farq ma'lumot, shovqin emas. Muvaffaqiyatsiz mijozning xabarini aniq o'qing. Nom mos kelmasligi, noma'lum chiqaruvchi va o'zgargan barmoq izi uch xil hukm, va faqat oxirgisi pinga ishora qiladi.

Muvaffaqiyatsiz mijoz qaysi profilni tanlaganini ham tekshiring. O'z omborida yashovchi import qilingan nusxa administrator asl faylni boshqa joyda tahrirlaganda o'zgarmaydi.

Yangilash obyektni almashtiradi, faqat sanani emas

Barmoq izi kodlangan sertifikat mazmunini aniqlaydi. Yangilash yangi sertifikat yaratadi, shuning uchun subyekt nomi va ochiq kalit bir xil qolsa ham barmoq izi o'zgaradi. Bu CAga ishonadigan va nomni tekshiradigan mijozlar uchun kutilgan va zararsiz. Bu aynan bitta sertifikatni qabul qilishga sozlangan mijoz uchun halokatli, va ishonch ombori yangi chiqaruvchini hech qachon olmagan mijoz uchun ham halokatli.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Ikkinchi qator boshqa savolga javob beradi, kalit juftligi omon qoldimi. Kalitni qayta ishlatadigan yangilash bu qiymatni saqlaydi va faqat sertifikatni o'zgartiradi, va administrator hech narsa o'zgarmagan deb o'ylashga moyil bo'ladigan holat aynan shu. Joylashtirilgan sertifikatni tekshiring, qurish xostidagisini emas. Omborxonadagi faylni solishtirish nima yaratilganini isbotlaydi, tinglovchi hozir nima taqdim etayotganini emas.

Mijoz nimani pin qilayotganini o'qing

Ba'zi mijozlar barmoq izini profilida saqlaydi va har bir ulanishda solishtiradi. Boshqalar uni platforma ishonch omborida saqlaydi, yana boshqalar faqat CAga tayanadi. Har bir holatda tuzatish boshqacha, shuning uchun avval mexanizmni aniqlang.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Birinchi buyruq odatiy profildagi pinni ko'rsatadi; ikkinchisi endpoint hozir haqiqatan taqdim etayotgan barmoq izini ko'rsatadi. Bu ikkisi farq qilsa, siz taxmin qilmasdan nosozlikni topdingiz. Yangi qiymatni shikoyat qilayotgan har bir mijozga yopishtirmang. Chiqaruvchi sababli rad etuvchi mijoz rad etishda davom etadi, va muammo barmoq izi bo'lmaganda ham u shunday bo'lgan deb o'zingizni ishontirasiz.

Har bir backend taqdim etayotgan sertifikatni solishtiring

Uzilishli natijalar odatda bir nechta endpointni bildiradi, va bitta tugunga qo'llangan yangilash qolganlarini eski obyektni taqdim etishda qoldiradi. Har bir backendni umumiy nom bo'yicha emas, manzil bo'yicha solishtiring.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Bitta tugun orqada qolgan pul, ikkinchi urinishda ulanadigan va birinchisida muvaffaqiyatsiz bo'ladigan mijozni tushuntiradi. Foydalanuvchilar shikoyat qilayotganda o'tadigan monitoring tekshiruvini ham tushuntiradi. Avval orqada qolishni tuzating. Har bir tugun yangi sertifikatni taqdim etishidan oldin ishonch konfiguratsiyasini aylantirish hech narsa ishlamaydigan oyna yaratadi, va keyin aylantirish mijozlarni oldindan aytib bo'lmaydigan tarzda muvaffaqiyatsiz qoldiradi.

Ishonchni boshqariladigan yo'l orqali o'zgartiring

Har qanday joyda qabul qilishdan oldin allaqachon ishonchli ma'muriy kanal orqali almashtirishni tasdiqlang. Ishonchli tugash sanasi egalik isboti emas. Boshqariladigan konfiguratsiyani unga egalik qiluvchi jarayon orqali yangilang, qabul qilinadigan identifikatorlarning rejalashtirilgan har qanday ustma-ust tushishi bilan, va joylashtirish talab qiladigan nom tekshiruvini saqlang. Nom tekshiruvisiz pin u almashtirgan CA ishonchidan kuchsizroq dizayn.

So'ngra har bir mijoz uchun tekshiring, ulaning, u qabul qilgan identifikatorni tasdiqlang va endi u ishonadigan sertifikat versiyasini qayd eting. Bir marta rad etilgan ogohlantirish keyingi yangilashda qaytish odatiga ega.