Вашият VPN сертификат изтича днес: какво всъщност спира

Сигналът за изтичане се задейства, тунелът все още пропуска трафик и никой не е съгласен дали датата има значение. Има, но не винаги в момента, отпечатан върху сертификата. Изтекъл сертификат спира новите удостоверявания и спира повторните проверки, които някои реализации извършват в дълготрайна сесия. Дали съществуващият ви тунел ще умре в полунощ зависи от протокола, клиента и настройките за предоговаряне на сървъра. Планирайте подновяването преди датата и го проверявайте с нов вход, а не със сесията, която вече е била отворена.

Намерете кой сертификат всъщност изтича

Едно внедряване съдържа сървърен краен сертификат, клиентски удостоверения, един или повече междинни сертификата и котва на доверие, и те не изтичат заедно. Четете сертификата, посочен в грешката, и веригата, с която е бил представен, а не първия файл в директорията на профила. Сървърен краен сертификат, който се подновява чисто, пак може да се провали, ако междинният над него е изтекъл. Запишете субект, издател, not-after и мястото на внедряване на всеки файл, преди да промените нещо.

Котвата на доверие обикновено е най-дългоживущият обект и най-малко вероятната причина.

Защо жива сесия може да надживее датата

Удостоверяването се случва при установяване на връзката, а някои протоколи проверяват идентичността по-късно. OpenVPN предоговаря канала за данни по таймер, така че предоговаряне, което представя изтекъл сертификат, се проваля, дори тунелът да работи от часове. Реализации, които никога не проверяват отново, могат да пренесат установена сесия отвъд датата на изтичане, затова «още работи» не е доказателство. Нито едно от двете поведения не е нещо, около което може да се планира.

Третирайте датата като краен срок за нови входове, а живота на сесията като заето време.

Проверете часовника, преди да обвините сертификата

Валидността се оценява спрямо локалния часовник, затова устройство с грешно време съобщава за отказ по валидност за напълно актуален сертификат. Проверете клиента, сървъра и всяко устройство по пътя.

Часовник, който се нулира при зареждане, обяснява откази, които се появяват само след спиране на тока.

Подновете чрез органа, който го е издал

Запазете идентичността, предназначението и съвместима конфигурация на ключа. Ако подновяването въвежда нов издател или закрепен сертификат, клиентите се нуждаят от координирано обновяване на доверието, а не от замяна на файл на сървъра. Защитавайте частните ключове при издаване и разпространение, защото подновеният сертификат не отменя компрометиран стар ключ. Нулирането на парола не е подновяване, каквото и да казва тикетът.

Публикувайте новата верига изцяло, защото краен сертификат без междинния си е половин подновяване, което работи само на машини, които вече са го кеширали.

Докажете го с нов вход, запазете възможност за връщане

След внедряването установете нова разрешена връзка от представителен клиент и проверете реалното приложение. Проверете дали веригата се доставя както клиентите очакват и дали информацията за отменяне е достъпна. Пазете връщане, което не зависи от доверие в изтекъл материал, за да се върнете към предишното състояние без отслабване на проверката. Премахнете остарелите файлове само след като замяната е проверена.

Съществуващите сесии може все още да отразяват по-ранно състояние, затова не доказват нищо в нито една посока.

Редът, който използвам в деня

Потвърдете изтичащия обект и веригата му, после потвърдете часовниците:

• Кой сертификат изтича и към коя верига принадлежи.
• Дали всеки междинен сертификат е внедрен и публикуван.
• Часовниците на клиента и сървъра съвпадат в разумни граници.
• Нов вход успява от представителен клиент.
• Информацията за отменяне е достъпна.
• Съществува връщане, което не отслабва проверката.

След това подновете, внедрете цялата верига, тествайте с нов вход и едва после почистете. Периодите на валидност и правилата за оценяването им са определени в RFC 5280, и датата не е изненада, ако мониторингът ви е наблюдавал обекта, който наистина изтича.