Новыя ўваходы ў VPN не праходзяць, хоць сертыфікаты дзейныя: праверце CRL

Сертыфікаты, якім засталіся месяцы, і ўваходы, што правальваюцца адразу, паказваюць на два розныя аб’екты з двума рознымі гадзіннікамі. Сервер адхіляе злучэнні таму, што спіс адкліканых сертыфікатаў, да якога ён звяртаецца, прайшоў уласную дату заканчэння, а не таму, што сертыфікаты карыстальнікаў састарэлі. Падаўжэнне сертыфіката карыстальніка нічога не робіць для гэтага спіса.

Раздзяленне двух графікаў — гэта і ёсць увесь дыягназ, і яно змяняе тое, якім павінна быць выпраўленне.

Два гадзіннікі, і толькі адзін з іх — гэта сертыфікат

Сертыфікат нясе акно дзейнасці. Спіс адклікання сертыфікатаў нясе ўласнае акно, а таксама выдаўцу і подпіс, і правяральнікі адмаўляюцца давяраць спісу, час наступнага абнаўлення якога прайшоў. Калі гэта адбываецца, кліент прад’яўляе цалкам дзейны сертыфікат, а сервер усё роўна скідае злучэнне з паведамленнем пра спіс. Карыстальнікі чытаюць гэтае паведамленне як 'сертыфікат пратэрмінаваны', што накіроўвае запыт на падаўжэнне не туды.

У двух аб’ектаў таксама розныя ўладальнікі: сертыфікат паходзіць ад CA, які яго выдаў, а спіс генеруецца па графіку тым, хто кіруе гэтым CA. Карыстальнік не можа яго абнавіць, і перавыдача сертыфікатаў не можа яго падоўжыць.

Прачытайце спіс, які служба фактычна загружае

Пачніце з працуючай канфігурацыі, а не з файла, які вы чакаеце. Шлях crl-verify можа быць абсалютным, адносным да профілю або скапіяваным у вобраз, і правяральнік чытае гэтую копію. Агледзьце яго на месцы з дапамогай openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate і параўнайце даты з гадзіннікам сервера.

Затым пацвердзіце, што файл сапраўды той, які выкарыстоўваецца: праверце яго подпіс з дапамогай openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout, які паведамляе вынік праверкі, а не моўчкі друкуе палі. Спіс, падпісаны іншым CA, або састарэлая копія, пакінутая ў другой дырэкторыі, правальваецца гэтак жа, як і пратэрмінаваны.

Перагенеруйце з базы адкліканняў, а не з нуля

Новы спіс павінен паходзіць з бягучай базы адкліканняў CA, праз зацверджаны працэс подпісу. Генерацыя пустога спіса або перагенерацыя са старой рэзервовай копіі індэкса моўчкі здымае адкліканне з кожнай асобы, дададзенай пасля гэтай копіі. Гэта ператварае перапынак ва ўваходзе ў рэгрэс бяспекі, і ніхто гэтага не заўважае, бо сімптом знікае.

Трымайце крок генерацыі ў кантролі версій разам з астатнімі інструментамі CA, каб інтэрвал і ключ подпісу былі задакументаваныя, а не ўтрымліваліся ў памяці. Запісу ў runbook, дзе названыя каманда, падпісанта і мэта публікацыі, дастаткова. Тады любы чарговы зможа перагенераваць, не угадваючы, які файл індэкса з’яўляецца галоўным. Захоўвайце серыйны нумар спіса і час наступнага абнаўлення разам з запісам разгортвання.

Разгортвайце там, куды глядзіць правяральнік

Скапіруйце новы спіс па шляху, які чытае служба, задайце ўласніка і рэжым так, каб уліковы запіс службы мог яго чытаць, а іншыя не маглі, і перазагрузіце або перазапусціце ў адпаведнасці з задакументаванымі паводзінамі. Калі дэман кэшуе спіс пры запуску, замена файла без перазагрузкі не змяняе нічога, што заўважыць працуючы працэс. Пацвердзіце часовую метку, якую працэс паведамляе пасля перазагрузкі.

Калі некалькі службаў правяраюць кліентаў, разгарніце ў кожнай з іх. Абнаўленне адной канцавой кропкі і пакіданне другой са старой копіяй дае збой, які з’яўляецца толькі ў карыстальнікаў, што трапляюць на другую. Трымайце кароткі спіс такіх канцавых кропак у тым самым runbook. Пасля разгортвання праверце дату спіса, якую паведамляе кожная з іх, а не выказвайце здагадку, што копія дайшла.

Зрабіце наступны дэдлайн бачным да таго, як ён пройдзе

Даўжэйшы інтэрвал публікацыі зніжае частату гэтага інцыдэнту, не ствараючы працэсу. Выберыце інтэрвал з палітыкі аператара, затым наладзьце апавяшчэнне па полі наступнага абнаўлення разгорнутага спіса з дастатковым запасам часу, каб перагенераваць і разгарнуць. Апавяшчайце пра разгорнутую копію, а не пра хост CA, бо правальваецца менавіта разгорнутая копія.

Пасля разгортвання праверце абодва напрамкі: дазволены карыстальнік падключаецца, а вядомая адкліканая асоба ўсё яшчэ правальваецца. Другая праверка — гэта тая, што ловіць няпоўную перагенерацыю, і яна патрабуе адной каманды супраць тэставага профілю, які вы трымаеце менавіта для гэтага.