Wie ersetze ich die Client-VPN-Endpunktzertifikate, um einen TLS-Handshake-Fehler zu beheben?

Behebung

Hinweis: Wenn du beim Ausführen von AWS Command Line Interface (AWS CLI)-Befehlen Fehlermeldungen erhältst, findest du weitere Informationen dazu unter Problembehandlung bei der AWS CLI. Stelle außerdem sicher, dass du die neueste Version der AWS CLI verwendest.

Wenn die VPN-Client-Endpunktzertifikate ablaufen, stimmt die sichere TLS-Sitzung nicht mit dem Endpunkt überein, und der Client kann keine Verbindung herstellen. Der Client-VPN zeigt dann einen TLS-Handshake-Fehler an.

Die abgelaufenen Endpunktzertifikate identifizieren

Öffne die AWS Certificate Manager (ACM)-Konsole. Überprüfe die aktuellen Zertifikate und notiere dir die IDs aller abgelaufenen Zertifikate, die der Client-VPN-Endpunkt verwendet.

Die neuen Zertifikate neu erstellen

Wenn du Zugriff auf die aktuelle Public Key Infrastruktur (PKI)-Umgebung hast, erneuere das vorhandene Serverzertifikat für AWS Client VPN. Die PKI-Umgebung muss die Zertifizierungsstelle, Serverzertifikate und Client-Zertifikate enthalten.

Wenn du keinen Zugriff auf die bereits vorhandene PKI-Umgebung hast, erstelle die Zertifikate neu, um eine neue Zertifizierungsstelle zu erstellen. Dateitypen, die auf .crt enden, enthalten den Zertifikatstext, Schlüsseldateien den privaten Schlüssel des Zertifikats und ca.crt-Dateien die Zertifikatskette.

Informationen zum erneuten Erstellen der Zertifikate findest du unter Aktivieren der gegenseitigen Authentifizierung für AWS Client VPN. Führe im letzten Schritt den AWS-CLI-Befehl import-certificate aus, um die neu erstellten Zertifikate erneut zu importieren:

aws acm import-certificate \  
--certificate fileb://server.crt \  
--private-key fileb://server.key \  
--certificate-chain fileb://ca.crt \  
--certificate-arn arn:aws:acm:region:123456789012:certificate/12345678-1234-1234-1234-12345678901

Wenn du Zertifikate aktualisierst, die von Client VPN verwendet werden, aktualisiert der Service den Client-VPN-Endpunkt automatisch mit dem neuen Zertifikat. Dieser Vorgang kann bis zu 24 Stunden dauern.

Um das Update sofort anzuwenden, trenne die Zielnetzwerke vom Client-VPN-Endpunkt und ordne die Zielnetzwerke dann erneut zu. Wenn du die Zuordnung zum Zielnetzwerk aufhebst, entferne alle manuell hinzugefügten Routen aus der Routing-Tabelle des Endpunkts.

Nachdem du die Zielnetzwerke erneut verknüpft hast, stelle sicher, dass du die Client-VPN-Endpunktroute neu erstellst.

Die neue Konfigurationsdatei für den Client-VPN-Endpunkt herunterladen

Gehe wie folgt vor, um die neue Konfigurationsdatei für den Client-VPN-Endpunkt herunterzuladen.

1. Verwende Amazon Virtual Private Cloud (Amazon VPC) oder die AWS CLI, um die Konfigurationsdatei des AWS-Client-VPN-Clients zu exportieren.
2. Füge das AWS-Client-VPN-Client-Zertifikat und die Schlüsselinformationen zur heruntergeladenen .ovpn-Konfigurationsdatei hinzu.

Ähnliche Informationen

Client-Authentifizierung in AWS Client VPN