¿Cómo puedo sustituir los certificados de punto de enlace de Client VPN para resolver un error de protocolo de enlace TLS?

Solución

Nota: Si se muestran errores al ejecutar comandos de la Interfaz de la línea de comandos de AWS (AWS CLI), consulta Solución de problemas de AWS CLI. Además, asegúrate de utilizar la versión más reciente de la AWS CLI.

Cuando los certificados de punto de enlace de Client VPN vencen, la sesión TLS segura no se puede asociar con el punto de enlace y el cliente no puede establecer una conexión. A continuación, Client VPN muestra un error de protocolo de enlace de TLS.

Identificación de los certificados de punto de enlace que han vencido

Abre la consola de AWS Certificate Manager (ACM). Revisa los certificados actuales y anota los ID de todos los certificados vencidos que utiliza el punto de enlace de Client VPN.

Volver a crear los nuevos certificados

Si tienes acceso a tu entorno actual de infraestructura de clave pública (PKI), renueva el certificado de servidor existente para AWS Client VPN. El entorno de PKI debe incluir la autoridad de certificación, los certificados de servidor y los certificados de cliente.

Si no tienes acceso a tu entorno de PKI preexistente, vuelve a crear los certificados para crear una nueva autoridad de certificación. Los tipos de archivo que terminan en .crt contienen el cuerpo del certificado, los archivos .key contienen la clave privada del certificado y los archivos ca.crt contienen la cadena de certificados.

Para volver a crear los certificados, consulta Activación de la autenticación mutua para AWS Client VPN. Para el último paso, ejecuta el comando import-certificate de la AWS CLI para volver a importar los certificados que vuelvas a crear:

aws acm import-certificate \  
--certificate fileb://server.crt \  
--private-key fileb://server.key \  
--certificate-chain fileb://ca.crt \  
--certificate-arn arn:aws:acm:region:123456789012:certificate/12345678-1234-1234-1234-12345678901

Al actualizar los certificados que utiliza Client VPN, el servicio actualiza automáticamente el punto de enlace de Client VPN con el nuevo certificado. Este proceso puede tardar hasta 24 horas.

Para aplicar la actualización inmediatamente, desasocia las redes de objetivo del punto de enlace de Client VPN y, a continuación, vuelve a asociar las redes de objetivo. Al desasociar la red de objetivo, se eliminan todas las rutas agregadas manualmente de la tabla de enrutamiento del punto de enlace.

Después de volver a asociar las redes de objetivo, asegúrate de volver a crear la ruta de punto de enlace de Client VPN.

Descarga del archivo de configuración del punto de enlace de Client VPN

Para descargar el nuevo archivo de configuración de punto de enlace de Client VPN, sigue estos pasos.

1. Utiliza Amazon Virtual Private Cloud (Amazon VPC) o la AWS CLI para exportar el archivo de configuración del cliente de AWS Client VPN.
2. Agrega el certificado del cliente de AWS Client VPN y la información clave al archivo de configuración .ovpn que descargues.

Información relacionada

Autenticación de clientes en AWS Client VPN