VPN sertifikatınız bu gün bitir: əslində nə dayanır

Bitmə xəbərdarlığı işə düşür, tunel hələ də trafik keçirir və tarixin əhəmiyyətli olub-olmadığı barədə heç kim razılaşmır. Əhəmiyyətlidir, amma həmişə sertifikatda çap olunmuş anda deyil. Vaxtı bitmiş sertifikat yeni autentifikasiyaları dayandırır və bəzi tətbiqlərin uzun ömürlü sessiya daxilində etdiyi yenidən yoxlamaları da dayandırır. Mövcud tunelinizin gecə yarısı ölməsi protokoldan, klientdən və serverin yenidən danışıq parametrlərindən asılıdır. Yenilənməni tarixdən əvvəl planlaşdırın və onu artıq açıq olan sessiya ilə deyil, təzə girişlə yoxlayın.

Hansı sertifikatın əslində bitdiyini tapın

Yerləşdirmə server yarpaq sertifikatını, klient etimadnamələrini, bir və ya bir neçə ara sertifikatı və etibar ankerini saxlayır və onlar birlikdə bitmir. Xətada adı çəkilən sertifikatı və onunla təqdim edilən zənciri oxuyun, profil qovluğundakı ilk faylı yox. Təmiz yenilənən server yarpağı, üstündəki ara sertifikat bitibsə, yenə də uğursuz ola bilər. Hər şeyi dəyişməzdən əvvəl hər faylın subyektini, emitentini, not-after dəyərini və yerləşdirmə yerini yazın.

Etibar ankeri adətən ən uzunömürlü obyektdir və səbəb olma ehtimalı ən azdır.

Niyə canlı sessiya tarixi üstələyə bilir

Autentifikasiya bağlantı qurulanda baş verir və bəzi protokollar kimliyi sonra yenidən yoxlayır. OpenVPN məlumat kanalını taymerlə yenidən danışır, buna görə vaxtı bitmiş sertifikat təqdim edən yenidən danışıq, tunel saatlardır işlədiyi halda uğursuz olur. Heç vaxt yenidən yoxlamayan tətbiqlər qurulmuş sessiyanı bitmə tarixindən sonraya apara bilər, buna görə «hələ də işləyir» sübut deyil. Bu iki davranışın heç biri planlaşdırıla bilən şey deyil.

Tarixi yeni girişlər üçün son müddət, sessiya ömrünü isə borc vaxt kimi qəbul edin.

Sertifikatı günahlandırmadan əvvəl saatı yoxlayın

Etibarlılıq yerli saata görə qiymətləndirilir, buna görə səhv vaxtlı cihaz tamamilə aktual sertifikat üçün etibarlılıq xətası bildirir. Klienti, serveri və yoldakı hər hansı cihazı yoxlayın.

Açılışda sıfırlanan saat yalnız elektrik kəsilməsindən sonra görünən nasazlıqları izah edir.

Sertifikatı verən orqan vasitəsilə yeniləyin

Kimliyi, nəzərdə tutulan məqsədi və uyğun açar konfiqurasiyasını saxlayın. Yenilənmə yeni emitent və ya bərkidilmiş sertifikat gətirirsə, klientlərə server faylının dəyişdirilməsi deyil, əlaqələndirilmiş etibar yeniləməsi lazımdır. Verilmə və paylama zamanı şəxsi açarları qoruyun, çünki yenilənmiş sertifikat kompromisə uğramış köhnə açarı ləğv etmir. Parol sıfırlaması yenilənmə deyil, bilet nə deyirsə desin.

Yeni zənciri tam dərc edin, çünki arası olmayan yarpaq yalnız onu əvvəlcədən keşləmiş maşınlarda işləyən yarımçıq yenilənmədir.

Təzə girişlə sübut edin, geri qaytarma saxlayın

Yerləşdirmədən sonra təmsilçi klientdən yeni icazəli bağlantı qurun və real tətbiqi sınayın. Zəncirin klientlərin gözlədiyi kimi çatdırıldığını və hər hansı ləğvetmə məlumatının əlçatan olduğunu yoxlayın. Vaxtı bitmiş materiala güvənməkdən asılı olmayan geri qaytarma saxlayın ki, yoxlamanı zəiflətmədən əvvəlki vəziyyətə qayıda biləsiniz. Köhnə faylları yalnız əvəz yoxlandıqdan sonra silin.

Mövcud sessiyalar hələ də əvvəlki vəziyyəti əks etdirə bilər, buna görə heç bir tərəfi sübut etmirlər.

Həmin gün istifadə etdiyim sıra

Bitən obyekti və onun zəncirini təsdiqləyin, sonra saatları təsdiqləyin:

• Hansı sertifikat bitir və hansı zəncirə aiddir.
• Hər ara sertifikatın yerləşdirilib və dərc edilib-edilmədiyi.
• Klient və server saatlarının məqbul hədd daxilində uyğunluğu.
• Təmsilçi klientdən təzə girişin uğur qazanması.
• Ləğvetmə məlumatının əlçatanlığı.
• Yoxlamanı zəiflətməyən geri qaytarmanın mövcudluğu.

Sonra yeniləyin, tam zənciri yerləşdirin, təzə girişlə sınaqdan keçirin və yalnız ondan sonra təmizləyin. Etibarlılıq müddətləri və onların qiymətləndirilmə qaydaları RFC 5280-də müəyyən edilib və monitorinqiniz əslində bitən obyekti izləyibsə, tarix sürpriz deyil.