شهادة VPN الخاصة بك تنتهي اليوم: ما الذي يتوقف فعلاً

ينطلق تنبيه الانتهاء، والنفق ما زال يمرّر حركة المرور، ولا أحد يتفق على ما إذا كان التاريخ مهماً. إنه مهم، لكن ليس دائماً في اللحظة المطبوعة على الشهادة. الشهادة المنتهية توقف المصادقات الجديدة، وتوقف إعادات التحقق التي تجريها بعض التطبيقات داخل جلسة طويلة الأمد. أما موت نفقك الحالي عند منتصف الليل فيعتمد على البروتوكول والعميل وإعدادات إعادة التفاوض على الخادم. خطط للتجديد قبل التاريخ وتحقق منه بتسجيل دخول جديد بدلاً من الجلسة التي كانت قائمة بالفعل.

حدّد أي شهادة تنتهي فعلاً

يحمل النشر شهادة خادم طرفية وبيانات اعتماد عميل وواحدة أو أكثر من الشهادات الوسيطة ونقطة ثقة، وهي لا تنتهي معاً. اقرأ الشهادة المذكورة في الخطأ والسلسلة التي قُدّمت معها، لا أول ملف في دليل الملف الشخصي. شهادة خادم طرفية تُجدَّد بنظافة قد تفشل مع ذلك إذا انتهت الشهادة الوسيطة التي فوقها. اكتب الموضوع والجهة المصدرة وnot-after وموقع نشر كل ملف قبل أن تغيّر أي شيء.

نقطة الثقة عادةً هي الكائن الأطول عمراً والأقل احتمالاً لأن يكون السبب.

لماذا يمكن لجلسة حية أن تتجاوز التاريخ

تحدث المصادقة عند إعداد الاتصال، وبعض البروتوكولات تعيد فحص الهوية لاحقاً. OpenVPN يعيد التفاوض على قناة البيانات وفق مؤقت، لذا تفشل إعادة تفاوض تقدّم شهادة منتهية حتى لو كان النفق قائماً منذ ساعات. التطبيقات التي لا تعيد التحقق أبداً يمكنها أن تحمل جلسة قائمة إلى ما بعد تاريخ الانتهاء، ولهذا فإن «لا يزال يعمل» ليس دليلاً. لا يمكن التخطيط حول أي من السلوكين.

اعتبر التاريخ موعداً نهائياً لتسجيلات الدخول الجديدة، وعمر الجلسة وقتاً مستعاراً.

افحص الساعة قبل أن تلوم الشهادة

تُقيَّم الصلاحية مقابل الساعة المحلية، لذا جهاز بساعة خاطئة يبلّغ عن فشل صلاحية لشهادة حديثة تماماً. افحص العميل والخادم وأي جهاز في المسار.

الساعة التي تعود إلى الصفر عند الإقلاع تفسّر الأعطال التي تظهر فقط بعد انقطاع التيار.

جدّد عبر الجهة التي أصدرتها

أبقِ الهوية والغرض المقصود وتكوين مفتاح متوافقاً. إذا أدخل التجديد جهة إصدار جديدة أو شهادة مثبّتة، يحتاج العملاء إلى تحديث ثقة منسّق بدلاً من استبدال ملف على الخادم. احمِ المفاتيح الخاصة أثناء الإصدار والتوزيع، لأن الشهادة المجددة لا تُبطل مفتاحاً قديماً مخترقاً. إعادة تعيين كلمة المرور ليست تجديداً، مهما قال التذكرة.

انشر السلسلة الجديدة بالكامل، لأن شهادة طرفية بلا وسيطتها تجديد نصف مكتمل يعمل فقط على الأجهزة التي خزّنتها مسبقاً.

أثبته بتسجيل دخول جديد، واحتفظ بإمكانية التراجع

بعد النشر، أنشئ اتصالاً مسموحاً جديداً من عميل ممثّل واختبر التطبيق الفعلي. تحقق من أن السلسلة تُسلَّم كما يتوقع العملاء وأن أي معلومات إبطال يمكن الوصول إليها. احتفظ بتراجع لا يعتمد على الوثوق بمواد منتهية، كي تعود إلى الحالة السابقة دون إضعاف التحقق. أزل الملفات القديمة فقط بعد التحقق من البديل.

قد تعكس الجلسات القائمة حالة أقدم، لذا لا تثبت شيئاً في أي اتجاه.

الترتيب الذي أتبعه في اليوم نفسه

أكّد الكائن المنتهي وسلسلته، ثم أكّد الساعات:

• أي شهادة تنتهي، وإلى أي سلسلة تنتمي.
• ما إذا كانت كل شهادة وسيطة منشورة ومتاحة للعامة.
• تطابق ساعتي العميل والخادم داخل هامش معقول.
• نجاح تسجيل دخول جديد من عميل ممثّل.
• إمكانية الوصول إلى معلومات الإبطال.
• وجود تراجع لا يُضعف التحقق.

ثم جدّد، وانشر السلسلة الكاملة، واختبر بتسجيل دخول جديد، وبعد ذلك فقط نظّف. تُعرَّف فترات الصلاحية وقواعد تقييمها في RFC 5280، والتاريخ ليس مفاجأة إذا كانت مراقبتك ترصد الكائن الذي ينتهي فعلاً.