Como substituo os certificados de endpoint do Client VPN para resolver um erro de handshake de TLS?

Resolução

Observação: se você receber erros ao executar comandos da AWS Command Line Interface (AWS CLI), consulte Solução de problemas da AWS CLI. Além disso, verifique se você está usando a versão mais recente da AWS CLI.

Quando os certificados de endpoint do Client VPN expiram, a sessão segura de TLS não é acordada com o endpoint e o cliente não consegue estabelecer uma conexão. Em seguida, o Client VPN exibe um erro de handshake de TLS.

Identificar os certificados de endpoint que expiraram

Abra o console do AWS Certificate Manager (ACM). Analise os certificados atuais e anote as IDs de todos os certificados expirados que o endpoint Client VPN usa.

Recriar novos certificados

Se você tiver acesso ao seu ambiente atual de infraestrutura de chave pública (PKI), renova seu certificado de servidor existente para o AWS Client VPN. O ambiente de PKI deve incluir a autoridade de certificação, certificados de servidor e certificados de cliente.

Se você não tiver acesso ao seu ambiente de PKI preexistente, recrie os certificados para criar uma nova autoridade de certificação. Os tipos de arquivo que terminam em .crt contêm o corpo do certificado, os arquivos .key contêm a chave privada do certificado e os arquivos .crt contêm a cadeia de certificado.

Para recriar os certificados, consulte Ativar a autenticação mútua para o AWS Client VPN. Para a etapa final, execute o comando import-certificate da AWS CLI para reimportar os certificados que você recria:

aws acm import-certificate \  
--certificate fileb://server.crt \  
--private-key fileb://server.key \  
--certificate-chain fileb://ca.crt \  
--certificate-arn arn:aws:acm:region:123456789012:certificate/12345678-1234-1234-1234-12345678901

Quando você atualiza certificados usados pelo Client VPN, o serviço atualiza automaticamente o endpoint do Client VPN com o novo certificado. Esse processo pode levar até 24 horas.

Para aplicar a atualização imediatamente, desassocie as redes de destino do endpoint VPN do cliente e, em seguida, reassocie as redes de destino. Ao desassociar a rede de destino, você remove todas as rotas adicionadas manualmente da tabela de rotas do endpoint.

Depois de reassociar as redes de destino, certifique-se de recriar a rota de endpoint do Client VPN.

Baixar o novo arquivo de configuração do endpoint do Client VPN

Para baixar o novo arquivo de configuração do endpoint Client VPN, conclua as seguintes etapas:.

1. Use o Amazon Virtual Private Cloud (Amazon VPC) ou o AWS CLI para exportar o arquivo de configuração do cliente AWS Client VPN.
2. Adicione o certificado do cliente AWS Client VPN e as principais informações ao arquivo de configuração .ovpn que você baixou.

Informações relacionadas

Autenticação de cliente no AWS Client VPN