Risoluzione dei problemi con l'installazione di stunnel

Se non riesci a installare stunnel, prova a disabilitare il controllo del nome host del certificato. Inoltre, offri la massima sicurezza possibile abilitando l'Online Certificate Status Protocol (OCSP).

Disabilitazione della verifica del certificato associato al nome dell'host

Se non riesci a installare le dipendenze necessarie, è possibile disabilitare facoltativamente la verifica del certificato associato al nome dell'host all'interno della configurazione dell'helper di montaggio di Amazon EFS. Non è consigliabile disabilitare questa funzione in ambienti di produzione. Per disabilitare la verifica del certificato associato al nome dell'host, procedere nel seguente modo:

Per maggiori informazione sull'utilizzo della crittografia dei dati in transito, vedere Montaggio dei file system EFS.

Abilitazione di OCSP (Online Certificate Status Protocol)

Per massimizzare la disponibilità del file system nel caso in cui la CA non sia raggiungibile dal VPC, l'Online Certificate Status Protocol (OCSP) non è abilitato per impostazione predefinita quando si sceglie di crittografare i dati in transito. Amazon EFS utilizza un'autorità di certificazione (CA) Amazon per emettere e firmare i propri certificati TLS e la CA ordina al client di utilizzare OCSP per verificare la presenza di certificati revocati. L'endpoint OCSP deve essere accessibile su Internet tramite il Virtual Private Cloud (VPC) per poter verificare lo stato di un certificato. All'interno del servizio, Amazon EFS monitora continuamente lo stato dei certificati ed emette nuovi certificati per sostituire i certificati revocati rilevati.

Per offrire la massima sicurezza possibile, puoi abilitare OCSP in modo tale che i client Linux possano verificare la presenza di certificati revocati. OCSP protegge dall'uso dannoso dei certificati revocati, il che è improbabile che si verifichi nel VPC. Nel caso in cui un certificato EFS TLS venga revocato, Amazon pubblica un bollettino sulla sicurezza e rilascia una nuova versione di EFS mount helper che rifiuta il certificato revocato.