web-dev-qa-db-ja.com

パペットマスターダイジェストの問題

私はPuppetの次のセットアップを実行しています：

  • 操り人形マスター：CentOS 6.4 x86_64 with puppet-server-3.2.1-2.2およびopenssl-1.0.0-27.el6_4.2.x86_64
  • Puppetエージェント1：RedHat AS 4.8 x86とpuppet-0.25.6-1.el4およびopenssl-0.9.7a-43.20.el4
  • Puppetエージェント2：RHEL 5.10 x86とpuppet-2.6.18-3.el5およびopenssl-0.9.8e-26.el5_9.1

RedHat 4エージェントがPuppetマスターに接続できないことに気付きました。その理由は、RH4にパッケージ化されたlibsslのバージョン（私の場合は0.9.7a-43.20）がによって生成されたダイジェストを管理できないためだと思います。 Puppetサーバー。

私が実行したテスト：

  • 動作していないRedHat4エージェントから（OpenSSL v0.9.7a-43.20.el4を使用）：

# openssl s_client -Host puppetmaster.test.lan -port 8140 -cert /etc/puppet/ssl/certs/rh4as.test.lan.pem -key /etc/puppet/ssl/private_keys/rh4as.test.lan.pem -CAfile /etc/puppet/ssl/certs/ca.pem 
CONNECTED(00000003)
depth=1 /CN=Puppet CA: puppetmaster.test.lan
verify return:1
depth=0 /CN=puppetmaster.test.lan
verify error:num=7:certificate signature failure
verify return:1
depth=0 /CN=puppetmaster.test.lan
verify return:1
---
Certificate chain
 0 s:/CN=puppetmaster.test.lan
   i:/CN=Puppet CA: puppetmaster.test.lan
 1 s:/CN=Puppet CA: puppetmaster.test.lan
   i:/CN=Puppet CA: puppetmaster.test.lan
---
Server certificate
-----BEGIN CERTIFICATE-----
[...]
-----END CERTIFICATE-----
subject=/CN=puppetmaster.test.lan
issuer=/CN=Puppet CA: puppetmaster.test.lan
---
No client certificate CA names sent
---
SSL handshake has read 3793 bytes and written 2853 bytes
---
New, TLSv1/SSLv3, Cipher is DHE-RSA-AES256-SHA
Server public key is 4096 bit
Secure Renegotiation IS supported
SSL-Session:
Protocol  : TLSv1
Cipher    : DHE-RSA-AES256-SHA
Session-ID: 8B8607495273640FB4BCB80C5C1CE261FED1633CA112C1D216BE187EDEA81F77
Session-ID-ctx: 
Master-Key: A2A3AC5B0679C27FFE070D0B3154233EC4D0F17310148AE7B6FF502A7DB95679D33BB097C0ED89AE67AA42E95BD4D952
Key-Arg   : None
Krb5 Principal: None
Start Time: 1392216496
Timeout   : 300 (sec)
Verify return code: 7 (certificate signature failure)
---
closed
  • 動作中のRedHat5エージェントから（OpenSSL v0.9.8e-26.el5_9.1を使用）：

# openssl s_client -Host puppetmaster.test.lan -port 8140 -cert /etc/puppet/ssl/certs/rhel5.test.lan.pem -key /etc/puppet/ssl/private_keys/rhel5.test.lan.pem -CAfile /etc/puppet/ssl/certs/ca.pem
CONNECTED(00000003)
depth=1 /CN=Puppet CA: puppetmaster.test.lan
verify return:1
depth=0 /CN=puppetmaster.test.lan
verify return:1
---
Certificate chain
 0 s:/CN=puppetmaster.test.lan
   i:/CN=Puppet CA: puppetmaster.test.lan
 1 s:/CN=Puppet CA: puppetmaster.test.lan
   i:/CN=Puppet CA: puppetmaster.test.lan
---
Server certificate
-----BEGIN CERTIFICATE-----
[...]
-----END CERTIFICATE-----
subject=/CN=puppetmaster.test.lan
issuer=/CN=Puppet CA: puppetmaster.test.lan
---
No client certificate CA names sent
---
SSL handshake has read 3793 bytes and written 2831 bytes
---
New, TLSv1/SSLv3, Cipher is DHE-RSA-AES256-SHA
Server public key is 4096 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
Protocol  : TLSv1
Cipher    : DHE-RSA-AES256-SHA
Session-ID: 7B70B803D8D0FFC65F2696D337EB40CDE41D188F9F1BA1D7FE416DA326B49AFD
Session-ID-ctx: 
Master-Key: BE57138CA99AA4AA59769B3E8396E9C25594264E196FB50DB066679EA569311521F1BBBCD25962B780A38D95A3AD9346
Key-Arg   : None
Krb5 Principal: None
Start Time: 1392224552
Timeout   : 300 (sec)
Verify return code: 0 (ok)
---
closed
  • 操り人形マスターから：

# puppet cert --list --all
+ "rh4as.test.lan"      (SHA256) 69:BD:D9:B6:31:6B:3E:90:9B:5E:1B:90:FA:24:08:1A:48:31:B1:17:65:DF:93:26:70:29:5A:C3:3E:C8:0F:7E
+ "rhel5.test.lan"      (SHA256) 83:58:A9:25:7C:9A:41:C9:A7:7E:45:26:40:EE:D0:05:9A:31:6E:8D:15:CE:57:86:0C:DA:E0:D0:2A:9C:B3:DB
+ "puppetmaster.test.lan" (SHA256) 9C:AC:8E:CA:71:24:2B:BB:61:52:01:4F:F1:DF:BD:B6:25:6C:DA:61:44:E4:1E:71:77:DF:2F:BA:AE:A9:40:FD (alt names: "DNS:puppet", "DNS:puppet.test.lan", "DNS:puppetmaster.test.lan", "DNS:puppetmaster")

追加のテスト：

  • すべてのサーバーがNTPサーバーと正しく同期されていることを確認しました
  • RH4ASエージェントのすべてのローカル証明書を削除して再発行しました
  • PuppetマスターのRH4ASエージェントへのローカル参照を削除しました
  • ソースPuppetエージェントv2.6.0からRH4ASサーバーにインストールしましたが、同じ問題が発生しました

私はこれらのリンクを読みました：

そして私は2つの選択肢があることに気づきました：

  • openSSLバージョンを+ 0.9.8にアップグレードします（安全のために1.0.0）
  • puppetマスターが使用するダイジェストをSHA256からSHA1（またはMD5）にダウングレードします

残念ながら、オプション＃1（OpenSSLのアップグレード）は私の環境には適用できません。だから私はPuppetマスターが使用するダイジェストをダウングレードすることに固執していると思います。しかし、この目標に向けて使用できるman puppet.conf全体のオプションを見つけることができません。 keylengthパラメーターで遊んでみましたが、役に立ちませんでした。

誰かがこの問題について私を助けてくれるなら、私は本当に感謝します。

よろしくお願いします。

puppetopensslpuppetmasterdigest
1
Iceman94

機能＃21029：CA証明書の作成に使用されるダイジェストの制御を許可する で説明されている問題があるようです。これに対する回避策はpuppetに実装されていないようです。そのため、OpenSSLを使用して証明書を手動で作成する必要があります。

0
sciurus

Puppet Masterバージョンを3.xブランチから2.7.xにダウングレードすることになりました（この投稿に示されているように： https://groups.google.com/forum/#!msg/puppet-dev/_jkdY1Hmq6U/QJ6nHP2ORtYJ ）。

しかし、Puppetの開発者から、SHA1準拠のCAを設定することでこの問題を回避できると言われたので、おそらくリスの答えは有効だと思います。

1
Iceman94