Jou VPN-sertifikaat verval vandag: wat werklik ophou

Die vervaldatum-waarskuwing lui, die tonnel stuur nog verkeer, en niemand stem saam of die datum saak maak nie. Dit maak saak, maar nie altyd op die oomblik wat op die sertifikaat gedruk staan nie. ’n Vervalle sertifikaat stop nuwe verifikasies, en dit stop die herverifikasies wat sommige implementasies binne ’n langdurige sessie doen. Of jou bestaande tonnel om middernag sterf, hang af van die protokol, die kliënt en die bediener se heronderhandeling-instellings. Beplan die verlenging voor die datum en verifieer dit met ’n nuwe aanmelding eerder as met die sessie wat reeds op was.

Vind watter sertifikaat werklik verval

’n Ontplooiing hou ’n bediener-blaar, kliënt-aanmeldings, een of meer tussenliggende sertifikate en ’n vertrouensanker, en hulle verval nie saam nie. Lees die sertifikaat wat in die fout genoem word en die ketting waarmee dit aangebied is, nie die eerste lêer in die profielgids nie. ’n Bediener-blaar wat skoon verleng, kan steeds faal as die tussenliggende sertifikaat bokant dit verval het. Skryf die onderwerp, uitreiker, not-after en die ontplooiingsplek van elke lêer neer voordat jy enigiets verander.

Die vertrouensanker is gewoonlik die langsdlewende objek en die minste waarskynlike oorsaak.

Waarom ’n lewende sessie die datum kan oorleef

Verifikasie gebeur by die opstel van die verbinding, en sommige protokolle herkontroleer identiteit later. OpenVPN heronderhandel die datakanaal op ’n tydhouer, so ’n heronderhandeling wat ’n vervalle sertifikaat aanbied, misluk selfs al is die tonnel al ure lank op. Implementasies wat nooit herverifieer nie, kan ’n gevestigde sessie verby die vervaldatum dra, en daarom is «dit werk nog» nie bewyse nie. Nie een van die twee gedragings is iets waarop jy kan beplan nie.

Behandel die datum as die spertyd vir nuwe aanmeldings, en die sessieleeftyd as geleende tyd.

Kontroleer die klok voordat jy die sertifikaat blameer

Geldigheid word teen die plaaslike klok geëvalueer, so ’n toestel met die verkeerde tyd rapporteer ’n geldigheidsfout vir ’n sertifikaat wat heeltemal op datum is. Kontroleer die kliënt, die bediener en enige toestel in die pad.

’n Klok wat by herlaai terugstel, verduidelik foute wat net ná ’n kragonderbreking verskyn.

Verleng deur die owerheid wat dit uitgereik het

Behou die identiteit, die beoogde doel en ’n versoenbare sleutelkonfigurasie. As die verlenging ’n nuwe uitreiker of ’n vasgepen sertifikaat invoer, het kliënte ’n gekoördineerde vertrouensopdatering nodig eerder as ’n bediener-lêerruil. Beskerm private sleutels tydens uitreiking en verspreiding, want ’n verlengde sertifikaat herroep nie ’n gekompromitteerde ou sleutel nie. ’n Wagwoordherstel is nie ’n verlenging nie, wat die kaartjie ook al sê.

Publiseer die nuwe ketting volledig, want ’n blaar sonder sy tussenliggende sertifikaat is ’n halwe verlenging wat net op masjiene werk wat dit reeds gekas het.

Bewys dit met ’n nuwe aanmelding, hou ’n terugrol

Stel ná ontplooiing ’n nuwe toegelate verbinding vanaf ’n verteenwoordigende kliënt op en oefen die werklike toepassing. Kontroleer dat die ketting gelewer word soos kliënte verwag en dat enige herroepingsinligting bereikbaar is. Hou ’n terugrol wat nie daarop staatmaak om vervalle materiaal te vertrou nie, sodat jy na die vorige toestand kan terugkeer sonder om verifikasie te verswak. Verwyder die verouderde lêers eers nadat die vervanging geverifieer is.

Bestaande sessies weerspieël dalk nog vroeër toestand, so hulle bewys niks in enige rigting nie.

Die orde wat ek op die dag gebruik

Bevestig die vervallende objek en sy ketting, bevestig dan die klokke:

• Watter sertifikaat verval, en aan watter ketting dit behoort.
• Of elke tussenliggende sertifikaat ontplooi en gepubliseer is.
• Kliënt- en bedienerklokke stem binne ’n redelike marge ooreen.
• ’n Nuwe aanmelding slaag vanaf ’n verteenwoordigende kliënt.
• Herroepingsinligting is bereikbaar.
• Daar bestaan ’n terugrol wat verifikasie nie verswak nie.

Verleng dan, ontplooi die volledige ketting, toets met ’n nuwe aanmelding, en ruim eers daarna op. Geldigheidsperiodes en die reëls om hulle te evalueer, word in RFC 5280 gedefinieer, en die datum is nie ’n verrassing as jou monitering die objek dopgehou het wat werklik verval nie.