Ваш сертыфікат VPN сканчаецца сёння: што насамрэч спыняецца

Апавяшчэнне пра сканчэнне спрацоўвае, тунель усё яшчэ прапускае трафік, і ніхто не згаджаецца, ці мае значэнне дата. Мае, але не заўсёды ў тую хвіліну, што надрукавана на сертыфікаце. Сканчальны сертыфікат спыняе новыя аўтэнтыфікацыі і спыняе пераправеркі, якія некаторыя рэалізацыі выконваюць унутры доўгатэрміновай сесіі. Ці памрэ ваш існуючы тунель апоўначы, залежыць ад пратакола, кліента і налад перамоў сервера. Плануйце падаўжэнне да даты і правярайце яго свежым уваходам, а не сесіяй, якая ўжо была адкрыта.

Знайдзіце, які сертыфікат насамрэч сканчаецца

Разгортванне ўтрымлівае серверны канцавы сертыфікат, уліковыя даныя кліента, адзін ці некалькі прамежкавых сертыфікатаў і якар даверу, і яны не сканчаюцца адначасова. Чытайце сертыфікат, названы ў памылцы, і ланцуг, з якім ён быў прадстаўлены, а не першы файл у каталогу профілю. Серверны канцавы сертыфікат, які чыста падаўжаецца, усё роўна можа не спрацаваць, калі прамежкавы над ім скончыўся. Запішыце суб’ект, эмітэнта, not-after і месца разгортвання кожнага файла, перш чым нешта змяняць.

Якар даверу звычайна самы доўгажывучы аб’ект і найменш імаверная прычына.

Чаму жывая сесія можа перажыць дату

Аўтэнтыфікацыя адбываецца пры ўсталяванні злучэння, а некаторыя пратакоды пазней пераправяраюць ідэнтычнасць. OpenVPN перапагадняе канал даных па таймеры, таму перапагадненне са сканчальным сертыфікатам не ўдаецца, нават калі тунель працуе ўжо гадзіны. Рэалізацыі, якія ніколі не пераправяраюць, могуць несці ўсталяваную сесію за дату сканчэння, і менавіта таму «усё яшчэ працуе» не доказ. Ні адну з гэтых паводзін нельга ўлічыць у план.

Лічыце дату крайнім тэрмінам для новых уваходаў, а час жыцця сесіі — пазычаным часам.

Праверце гадзіннік, перш чым вінаваціць сертыфікат

Тэрмін дзеяння ацэньваецца адносна мясцовага гадзінніка, таму прылада з няправільным часам паведамляе пра збой тэрміну для цалкам актуальнага сертыфіката. Праверце кліент, сервер і любую прыладу на шляху.

Гадзіннік, які скідваецца пры загрузцы, тлумачыць збоі, што з’яўляюцца толькі пасля адключэння электрычнасці.

Падоўжыце праз установу, якая яго выдала

Захавайце ідэнтычнасць, мэтавае прызначэнне і сумяшчальную канфігурацыю ключа. Калі падаўжэнне ўводзіць новага эмітэнта або замацаваны сертыфікат, кліентам патрэбна ўзгодненае абнаўленне даверу, а не замена файла на серверы. Ахоўвайце прыватныя ключы падчас выпуску і размеркавання, бо падоўжаны сертыфікат не адклікае скампраметаваны стары ключ. Скід пароля не з’яўляецца падаўжэннем, што б ні казаў тыкет.

Апублікуйце новы ланцуг цалкам, бо канцавы без прамежкавага — гэта палова падаўжэння, якая працуе толькі на машынах, што ўжо закэшавалі яго.

Дакажыце свежым уваходам, трымайце шлях адкату

Пасля разгортвання ўсталюйце новае дазволенае злучэнне з прадстаўнічага кліента і праверце сапраўднае прыкладанне. Праверце, што ланцуг дастаўляецца так, як чакаюць кліенты, і што любая інфармацыя пра адкліканне даступная. Трымайце адкат, які не залежыць ад даверу да састарэлага матэрыялу, каб вярнуцца ў папярэдні стан без аслаблення праверкі. Выдаляйце састарэлыя файлы толькі пасля праверкі замены.

Існуючыя сесіі могуць яшчэ адлюстроўваць ранейшы стан, таму яны нічога не даказваюць ні ў адзін бок.

Парадак, які я выкарыстоўваю ў гэты дзень

Пацвердзіце аб’ект, які сканчаецца, і яго ланцуг, затым пацвердзіце гадзіннікі:

• Які сертыфікат сканчаецца і да якога ланцуга ён належыць.
• Ці кожны прамежкавы сертыфікат разгорнуты і апублікаваны.
• Гадзіннікі кліента і сервера сыходзяцца ў разумных межах.
• Свежы ўваход паспяховы з прадстаўнічага кліента.
• Інфармацыя пра адкліканне даступная.
• Існуе адкат, які не аслабляе праверку.

Затым падоўжыце, разгарніце поўны ланцуг, праверце новым уваходам і толькі пасля гэтага прыбірайце. Тэрміны дзеяння і правілы іх ацэнкі вызначаны ў RFC 5280, і дата не стане нечаканасцю, калі маніторынг сачыў за аб’ектам, які сапраўды сканчаецца.