Nega Client VPN sertifikatini qayta import qilish yangi so'nggi nuqtani talab qiladi

Client VPN ulanishi uziladi, ACM dagi sertifikat almashtiriladi va hech narsa o'zgarmaydi. Sertifikat obyekti hech qachon so'nggi nuqta ishlatgan narsa bo'lmagan. So'nggi nuqta yaratilish paytida sertifikat bilan bog'lanishni, u tekshiradigan mijoz CA sini, autentifikatsiya turini, quyi tarmoqlarni va avtorizatsiya qoidalarini o'zgarmas xususiyatlar sifatida saqlaydi va bu bog'lanishlarning hech birida almashtiruvchi sertifikatni qabul qiladigan o'zgartirish chaqiruvi yo'q. ARN ortidagi baytlarni almashtirish sertifikatdagi o'zgarish, uni ushlab qolgan so'nggi nuqtadagi emas.

So'nggi nuqta sertifikatlarni emas, havolalarni saqlaydi

Bu mexanizmni aniq bayon qilishga arziydi, chunki u butun nosozlikni tushuntiradi. create-client-vpn-endpoint server sertifikatining ARN i va mijozning ildiz sertifikatlar zanjirining ARN ini oladi, va hosil bo'lgan so'nggi nuqta o'sha havolalarni autentifikatsiya parametrlari bilan birga qat'iy xususiyatlar sifatida saqlaydi. API mavjud so'nggi nuqtada server sertifikatini almashtiradigan amalni taklif qilmaydi.

Bog'lanishni taxmin qilmasdan tasdiqlashingiz mumkin. aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 sertifikatning ARN ini, mijoz ildiz zanjirining ARN ini, autentifikatsiya turini, mijoz CIDR ini va tegishli quyi tarmoqlarni chop etadi, bu siz qayta yaratishingiz kerak bo'lgan xususiyatlarning to'liq to'plamidir. Uni qayta importdan oldin va keyin ishga tushiring, chiqish qimirlamaydi. Bu qayta import hech qachon yordam bermasligining isboti.

Nega qayta import so'nggi nuqtaga yetib bora olmaydi

Qayta import mavjud ARN ostiga yangi sertifikat tanasini yozadi. Sertifikat muddati tugashiga yaqin bo'lganda bu qonuniy amal, va ACM uni shaxsiy kalit mos kelsa va zanjir tekshirilsa qabul qiladi. Qilmaydigan narsasi so'nggi nuqtaning yaratilish paytidagi tekshiruvini qayta ishga tushirmaslik, shuning uchun bog'lanish va uning ortidagi material so'nggi nuqta qurilgandagi holatda qoladi.

Shuning uchun ham belgi tarmoq nosozligiga o'xshaydi. TLS qo'l siqishi avtorizatsiya baholanmasdan turib muvaffaqiyatsiz bo'ladi yoki qayta o'rnatiladi, shuning uchun xavfsizlik guruhlari, marshrutlar va avtorizatsiya qoidalari barchasi begunoh ko'rinadi, va ular shunday.

Zanjir mijoz sertifikatining bir qismidir

Nosozlikning ikkinchi yarmi mijoz sertifikatida, va uni chetga surish osonroq. Mijoz sertifikatini uni bergan zanjir bilan birga import qilish kerak, import shakli bu maydonni ixtiyoriy ko'rsatsa ham. Zanjirsiz so'nggi nuqta mijoz sertifikatidan u sozlangan mijoz ildiz CA sigacha yo'l qura olmaydi, va ulanish paketlarni tashlaydigan xavfsizlik devoriga o'xshab eshitiladigan yumshoq qayta o'rnatish bilan tugaydi. openssl verify -CAfile root-ca.pem client.crt bu savolga mahalliy ravishda bir soniyada javob beradi, va bu siz ishga tushiradigan birinchi buyruq bo'lishi kerak.

Zanjir bilan qayta import bu yarmi uchun haqiqiy tuzatish, va baribir yolg'iz o'zi yetarli emas. ACM obyekti o'zgargandan keyin eski bog'lanishni ushlab turgan so'nggi nuqta sinovni davom ettirish uchun noto'g'ri narsa. Ikkala qadam ham bir tuzatishga tegishli, shuning uchun ikki qismli tuzatish qarama-qarshilik emas.

So'nggi nuqtani qayta yaratish bu migratsiya

Almashtiruvchi so'nggi nuqta yaratish bu migratsiya, qayta urinish emas, va unga qayta urinish sifatida qarash jamoalarning ikkita yarim sozlangan so'nggi nuqta bilan qolish yo'lidir. Yangi so'nggi nuqta yangi ID oladi va, agar buni rejalashtirmagan bo'lsangiz, har bir foydalanuvchi uchun yangi DNS nomi oladi. Mijoz profilini manzilga emas, nomga qaratib turing, shunda almashtirish qayta taqsimlash emas, yozuv o'zgarishi bo'ladi.

Buni xavfsiz saqlaydigan tartib qisqa: yangi so'nggi nuqtani bir xil CIDR, quyi tarmoqlar va avtorizatsiya qoidalari bilan yarating, aws ec2 export-client-vpn-client-configuration bilan yangi profil eksport qiling va bitta foydalanuvchi bilan tekshiring. Shundan keyingina eski so'nggi nuqta tushiriladi.

Eski so'nggi nuqtani ishdan chiqarishning o'z tartibi bor. Uni o'chirishdan oldin bekor qilmoqchi bo'lgan mijoz sertifikatlarini bekor qiling, chunki eski CA ga hali ishonadigan yangi so'nggi nuqta siz ketdi deb o'ylagan sertifikatlarni qabul qilishda davom etadi. Keyin eski so'nggi nuqtani o'chiring va uning avtorizatsiya qoidalarini olib tashlang, shunda eski profil siz yopiq deb o'ylagan maqsadli tarmoqqa qayta ulanmasin. Eski so'nggi nuqtaning ID si va bog'lanish identifikatorlarini o'zgarish yozuviga yozing, chunki xotira bilan solishtirilgan migratsiya ishlaydigan so'nggi nuqta ikki marta qayta qurilishining yo'lidir.

Diagnostikani tartibga soling

Har qanday konfiguratsiyani o'zgartirishdan oldin uchta nosozlikni ajratib oling. Mijoz TLS ni tugata olmaydi, mijoz TLS ni tugatadi lekin avtorizatsiya qilinmagan, yoki mijoz ulanadi lekin manzilga yeta olmaydi. Sertifikat bog'lanishi birinchisiga, mijoz manzilini qoplamaydigan avtorizatsiya qoidasi ikkinchisiga, marshrut yoki xavfsizlik guruhi uchinchisiga tegishli, u yerda so'nggi nuqtani qayta yaratish deyarli har doim noto'g'ri qadam.

Oylar davomida ishlab, keyin sertifikat yoki siyosat o'zgarishisiz to'xtagan so'nggi nuqta alohida holat. Uni bir xil sozlamalar bilan qayta qurish xizmatni tiklashi mumkin, lekin bu konfiguratsiyani qayta ishlab chiqariladigan saqlash uchun sabab, har bir hodisada qayta qurish uchun sabab emas.

Keyingi qayta qurish improvisatsiya emas, diff bo'lishi uchun to'rt narsani versiya nazoratida saqlang: so'nggi nuqta parametrlari, sertifikat va zanjirning ARN lari, avtorizatsiya qoidalari va mijoz CIDR i. Client VPN autentifikatsiyasi hujjati qaysi sertifikat qanday rol o'ynashini sanab o'tadi, va sertifikat muammo deb taxmin qilishdan oldin buni tekshirishga arziydi. Agar qayta import hech narsani o'zgartirmasa va so'nggi nuqta hali ham qayta o'rnatilsa, gumondor bog'lanish, va javob yozilgan parametrlardan qurilgan yangi so'nggi nuqta. Agar so'nggi nuqta haqiqatan yangi obyektni qabul qilsa, bog'lanish allaqachon to'g'ri edi va nosozlik mijoz zanjirida yoki avtorizatsiya qatlamida.