OpenVPN-sertifikaatvernuwing: lewer die sertifikaat, nie die tydhouer nie

Twee hernuwingsontwerpe lyk identies in 'n ontwerphersiening en gedra hulle heeltemal anders in Januarie. Die eerste laat 'n tydhouer loop, heruitreik sertifikate en gooi lêers in 'n gedeelde gids. Die tweede beskou hernuwing as 'n afleweringsprobleem: wie vra, wat bewys geskiktheid, hoe bereik die materiaal die toestel, en wat maak dat die kliënt dit gebruik. Slegs die tweede een oorleef 'n aflyn skootrekenaar, 'n uitgefaseerde bate en 'n aflewering wat stil-stil misluk het.

Vergelyk die twee ontwerpe waar hulle werklik verskil

Die tydhouerontwerp optimaliseer vir die bedienerkant. 'n Geskeduleerde taak roep die CA, 'n nuwe sertifikaat verskyn, en die operateur beskou die werk as gedoen. Alles wat ná uitreiking gebeur is iemand anders se probleem totdat 'n toestel nie kan verbind nie en die vervaldatum verduidelik waarom.

Die werkvloei-ontwerp optimaliseer vir die laaste myl. Dit aanvaar dat uitreiking een stap in 'n ketting is en dat elke latere stap onafhanklik kan misluk. Dit kos meer om te bou en baie minder om te bedryf, want die mislukkings verskyn as gevolgde toestande eerder as as vervalde kliënte.

'n Nuttige manier om die verskil in die oog te hou is die volgorde wat elke ontwerp eksplisiet moet benoem.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Spoor die venster uit die sertifikaat self op

Lees die geldigheid uit die sertifikaat wat die kliënt werklik voorlê, nie uit die datum wat in 'n gekopieerde lêernaam ingebed is nie. Lêername dryf weg, en 'n lêer wat 2026 sê kan 'n bewys hou wat in Maart verval.

Los speling in die venster vir die stadige gevalle: toestelle wat weke lank aflyn is, goedkeurings wat 'n persoon nodig het, en afleweringspaaie wat een keer misluk voordat hulle werk. 'n Tydhouer wat sukses rapporteer bewys dat die tydhouer geloop het, niks meer nie.

Magtig die versoek voordat enigiets uitgereik word

'n Bestaande sertifikaat kan deel wees van 'n wettige hernuwingsmeganisme, maar sy onderwerpsteks is nie 'n magtigingsbesluit nie. Die vraag om te beantwoord is of hierdie rekening en hierdie toestel nog geregtig is op 'n identiteit in die vloot, en daardie antwoord woon in jou batesrekords eerder as in die sertifikaat.

'n Uitgefaseerde skootrekenaar wie se geskeduleerde taak nog loop behoort nie 'n vars magtiging te ontvang nie. RFC 7030 is hier die moeite werd om te lees, want dit skei geauthentiseerde herregistrasie van bedienerkant-magtiging en -beleid; dit is 'n model om van te leen, nie 'n bewering dat OpenVPN of EasyRSA daardie protokol lewer nie.

Lewer, stageer en aktiveer as afsonderlike stappe

Uitreiking bewaar identiteit, doel en uitreikingsverhouding, en 'n plaasvervanger wat met 'n nuwe sleutelpaar geskep is, is nutteloos tensy die ooreenstemmende sleutel saam met dit reis. Lewer die paar oor 'n kanaal met 'n toegangsbeheerontwerp daar agter, want 'n onraaibare URL is obskuriteit eerder as beheer.

Stager is waar die meeste outomatisering stil-stil breek. 'n Ingevoerde profiel kan op een plek sit terwyl 'n administrateur 'n lêer elders opdateer, en die kliënt hou aan om die ou sertifikaat voor te lê totdat iemand dit opmerk. Skryf die pad neer wat die kliënt lees, die rekening wat dit mag skryf, en die gebeurtenis wat 'n herlaai veroorsaak. Bevestig dan dat die plaasvervanger die lêer is wat werklik in gebruik is eerder as 'n kopie wat daarlangs aangekom het.

Verifikasie beteken 'n nuwe outentisering met die nuwe materiaal en 'n kontrole van die toepassing wat die gebruiker nodig het. 'n Tonnel wat reeds opgestel is kan steeds die vorige bewys weerspieël, so 'n oop verbinding is nie bewys van 'n suksesvolle hernuwing nie.

Ontwerp eers die herstel vir die gemiste venster

Wanneer 'n skootrekenaar die registrasiediens net deur die VPN bereik, skep die verval 'n lus: die toestel het 'n sertifikaat nodig om die tonnel binne te gaan en die tonnel om die sertifikaat te haal. Besluit die buitebandse reëling voordat die eerste geskeduleerde taak uitgestuur word, of dit nou 'n afsonderlik geoutentiseerde registrasie-eindpunt is of administrateur-bystaande herregistrasie.

Wat jy ook al kies, moet die versoeker en die huidige magtiging verifieer. Om die bediener te konfigureer om vervalde sertifikate van enigiemand wat vra te aanvaar is nie 'n herstelpad nie; dit is 'n permanente verswakking van die kontrole wat jy die res van die ontwerp verdedig.

Laastens, hou hernuwing en kompromittering in afsonderlike prosedures. 'n Gelekte sleutel benodig herroeping en 'n reaksie op aktiewe sessies, en die vervaldatum te verleng bevat niks daarvan nie. Sluit 'n aflyn toestel, 'n mislukte aflewering en 'n uitgefaseerde bate in die aanvaardingstoets in, en die skedule is gereed om te aktiveer.