Àṣìṣe ẹ̀rí web lórí Access Server: àpò CA tí ó ṣófo

Ojú-ìwé ìwọlé web tí kò gbé wọlé nígbà tí DNS ń yanjú dáadáa kì í sábà jẹ́ ìṣòro DNS. Tí àkọsílẹ̀ iṣẹ́ bá mẹ́nu kan ipa àpò ẹ̀rí tí ó ṣófo tàbí ìkùnà ìtúpalẹ̀ PEM fún ẹ̀rí web àti kókó àṣírí, olùgbọ́ HTTPS kò ní ohun èlò tí ó wúlò, ìyanjú orúkọ kò sì ní ràn wọ́. Àtúnṣe wà nínú kókó ìṣètò mẹ́ta, kò sì nílò àtẹ̀jáde ẹ̀rí oníbàárà VPN kankan.

Ohun tí kókó mẹ́ta náà ń tọ́ka sí

À ń ṣàpèjúwe ẹ̀ka ẹ̀rí web àkànṣe pẹ̀lú cs.cert, cs.priv_key àti cs.ca_bundle. Ọ̀kọ̀ọ̀kan ń tọ́jú ipa fáìlì, iṣẹ́ web sì ń lo mẹ́tẹ̀ẹ̀ta papọ̀. Ẹ̀rí tí kókó rẹ̀ kò tọ́, tàbí fáìlì ẹ̀wọ̀n tí ó jẹ́ ẹ̀rí ewé ní tòótọ́, kùnà bí iye tí ó ṣófo.

Kókó wọ̀nyí jẹ́ ti ojú-ìwé web Admin àti Client. Wọ́n yatọ̀ sí PKI tí ń fún àwọn oníbàárà VPN ní ẹ̀rí, nítorí náà ìrọ́pò kò nílò fífọwọ́ kàn àwọn profáìlì, kókó sáfà tàbí aláṣẹ ẹ̀rí. Àtúntò gbogbo PKI ni àṣìṣe tí ó gbówó lórí jùlọ níbí.

Ìyàtọ̀ kan ń gbà àkókò: iye àkànṣe tí ó ṣófo gbangba kì í ṣe ipò kan náà pẹ̀lú àìsí àtúnṣe rárá. Èkíní ń fún olùtúpalẹ̀ ní ipa tí ó ṣófo, ohun tí ìlà àkọsílẹ̀ ń sọ ni yẹn. Èkejì ń fi Access Server sílẹ̀ lórí ohun èlò rẹ̀ fúnra rẹ̀.

Ìdí tí fáìlì tí ó wà kò fi jẹ́ ṣàyẹ̀wò

Olùtúpalẹ̀ ń ka àwọn ẹ̀ka tí ó ní àmì nínú fáìlì, kì í ka orúkọ fáìlì. .crt tí ó ní kókó àṣírí, ẹ̀wọ̀n tí a kọ gẹ́gẹ́ bí ẹ̀ka kan, tàbí fáìlì tí a fi ìlà ìkẹyìn kù náà ni a kọ̀. RFC 7468 ń ṣàlàyé àwọn àmì tí a lè kà wọ̀nyí nítorí wọ́n níkan ni ó ń sọ irú ohun tí ó ń bọ̀.

Ṣàyẹ̀wò àwọn ohun, kì í ṣe àwọn ìmúdàgba. Lórí Linux, openssl x509 -noout -subject -issuer -in server.pem àti openssl pkey -noout -check -in key.pem ń dáhùn àwọn ìbéèrè pàtàkì méjì, ìfiwéra modulus tàbí kókó gbogbogbo ń fi hàn pé wọ́n wà papọ̀. Jẹ́ kí ìjáde kókó àṣírí wà ní ọ̀nà jíjìnnà sí tíkẹ́ẹ̀tì àti àkọsílẹ̀ ìjíròrò.

Ipa tí ó ṣófo yẹ fún ìfura kan náà bí fáìlì tí ó bàjẹ́, nítorí àwọn méjèèjì ń fún àwọn àṣìṣe tí kò yé ni ìgbà tí ó ń bọ̀. Tí àkọsílẹ̀ bá sọ pé ipa àpò náà ṣófo, ka iye tí a tọ́jú kí o tó ṣàyẹ̀wò fáìlì náà.

Padà sí àkópamọ́ pẹ̀lú ìmọ̀

CLI Access Server ní ìṣàyẹ̀wò tí ó gba ipa mẹ́ta gẹ́gẹ́ bí àríyànjiyàn tí ó sì ń sọ bóyá ẹ̀ka náà wúlò. Àwọn ipa tí ó wà nísàlẹ̀ jẹ́ àpẹẹrẹ; rọ́pò wọ́n pẹ̀lú àwọn ibi tí a dáàbò bo lórí olùgbàlejò.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Ka àbájáde kí o tó fọwọ́ kàn iṣẹ́ tí ń ṣiṣẹ́, lẹ́yìn náà gbé àwọn iye wọlé kí o sì lò wọ́n nípasẹ̀ ìṣe tí a kọ sílẹ̀ fún ẹ̀yà tí a fi sórí ẹ̀rọ. ẹ̀kọ́ CLI òṣìṣẹ́ ń bo ìṣàyẹ̀wò, ìgbéwọlé àti ìgbésẹ̀ lílò, ẹ̀yà rẹ̀ sì ṣe pàtàkì ju àkópọ̀ kankan.

Ṣàyẹ̀wò orúkọ tí àwọn olùlò ń kọ

Nígbà tí ohun èlò àkànṣe bá bàjẹ́ tí àkópamọ́ tí a kọ́ sínú sì ṣì wà, ìmúpadàbọ̀sípò tí a kọ sílẹ̀ ni yíyọ àtúnṣe mẹ́ta kúrò àti fífi Access Server lọ́wọ́ láti lo àkópamọ́ yẹn. Pèsè àyè sí console àti ẹ̀dà ìṣètò lọ́wọ́lọ́wọ́ kí o tó bẹ̀rẹ̀.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Pípa gbogbo àkójọpọ̀ ìṣètò rẹ́ kì í ṣe àtúnṣe ẹ̀rí. Dójú kọ àwọn kókó mẹ́ta yẹn, lò wọ́n kí o sì jẹ́rìí pé ojú-ìwé web ń dáhùn. Àwọn fáìlì tí a fi ọwọ́ ara ẹni fọwọ́ sí nínú àpò web-ssl jẹ́ orísun àkópamọ́, kì í ṣe ibi iṣẹ́.

Retí pé aṣàwákiri yóò fi ẹ̀rí mìíràn hàn lẹ́yìn tí àkópamọ́ bá bẹ̀rẹ̀ iṣẹ́. Ìyẹn ni àbájáde tí ó tọ́; jẹ́rìí rẹ̀ nípasẹ̀ ìlànà ìṣàkóso tí ó gbẹ́kẹ̀lé.

Ìmúpadàbọ̀sípò máa ń parí lẹ́yìn ìwọlé tí ó yọrísí

Ìmúpadàbọ̀sípò kò parí nígbà tí olùgbọ́ TCP bá farahàn. Ṣàyẹ̀wò orúkọ DNS, ìdánimọ̀ ẹ̀rí àti ẹ̀wọ̀n fún orúkọ yẹn, lẹ́yìn náà gbé ojú-ìwé Admin àti Client wọlé kí o sì parí ìwọlé. Ìṣàyẹ̀wò ibùdó kò fi ọ̀kan nínú àwọn yẹn hàn.

Access Server 3.1 àti àwọn tí ó tẹ̀lé ń lè pèsè ẹ̀rí web oríṣiríṣi fún orúkọ olùgbàlejò SNI kọ̀ọ̀kan. Tí a bá ṣètò yẹn, àwọn kókó àkọ́kọ́ àti àwọn àkọsílẹ̀ orúkọ pàtàkì jẹ́ ẹ̀ka ọ̀tọ̀ọ̀tọ̀, ìdánwò nípasẹ̀ àdírẹ́sì IP sì lè fi ẹ̀rí tí ó yàtọ̀ hàn ní ìrọ̀rùn. Tún ẹ̀ka orúkọ tí ó kùnà ṣe kí o sì ṣàyẹ̀wò rẹ̀, kí o sì tún ìdánwò ìwọlé ṣe kí o tó ti ipáàlẹ̀ náà.