Renovació de certificats OpenVPN: lliura el certificat, no el temporitzador

Dos dissenys de renovació semblen idèntics en una revisió de disseny i es comporten de manera ben diferent al gener. El primer executa un temporitzador, reemet certificats i aboca fitxers en una carpeta compartida. El segon tracta la renovació com un problema de lliurament: qui ho demana, què demostra l'elegibilitat, com arriba el material al dispositiu i què fa que el client l'utilitzi. Només el segon sobreviu a un portàtil sense connexió, un actiu retirat i un lliurament que va fallar en silenci.

Compareu els dos dissenys on realment es diferencien

El disseny amb temporitzador optimitza el costat del servidor. Una tasca programada crida la CA, apareix un certificat nou i l'operador considera la feina feta. Tot el que passa després de l'emissió és problema d'una altra persona, fins que un dispositiu no es pot connectar i la data de caducitat n'explica el motiu.

El disseny de flux de treball optimitza l'última milla. Assumeix que l'emissió és un pas d'una cadena i que cada pas posterior pot fallar de manera independent. Costa més de construir i molt menys d'operar, perquè les fallades apareixen com a estats seguits en lloc de clients caducats.

Una manera útil de mantenir la diferència a la vista és la seqüència que cada disseny ha de nomenar explícitament.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Detecteu la finestra des del mateix certificat

Llegiu la validesa del certificat que el client presenta realment, no de la data incrustada en un nom de fitxer copiat. Els noms de fitxer es desplacen, i un fitxer que diu 2026 pot contenir una credencial que caduca al març.

Deixeu marge a la finestra per als casos lents: dispositius que estan setmanes sense connexió, aprovacions que necessiten una persona i camins de lliurament que fallen un cop abans de funcionar. Un temporitzador que informa d'èxit només demostra que el temporitzador es va executar, res més.

Autoritzeu la sol·licitud abans que s'emeti res

Un certificat existent pot formar part d'un mecanisme de renovació legítim, però el seu text de subjecte no és una decisió d'autorització. La pregunta a respondre és si aquest compte i aquest dispositiu encara tenen dret a una identitat a la flota, i aquesta resposta viu als vostres registres d'actius, no al certificat.

Un portàtil retirat la tasca programada del qual encara s'executa no hauria de rebre un dret nou. RFC 7030 val la pena llegir-lo aquí perquè separa el reenregistrament autenticat de l'autorització i la política del costat del servidor; és un model per manllevar, no una afirmació que OpenVPN o EasyRSA incloguin aquest protocol.

Lliurament, preparació i activació com a passos separats

L'emissió conserva la identitat, el propòsit i la relació emissora, i una substitució generada amb un parell de claus nou és inútil si la clau corresponent no hi viatja. Lliureu el parell per un canal amb un disseny de control d'accés al darrere, perquè una URL impossible d'endevinar és obscuritat, no control.

La preparació és on la majoria de l'automatització es trenca en silenci. Un perfil importat pot quedar-se en una ubicació mentre un administrador actualitza un fitxer en una altra, i el client continua presentant el certificat vell fins que algú se n'adona. Escriviu el camí que llegeix el client, el compte que hi pot escriure i l'esdeveniment que desencadena una recàrrega. Després confirmeu que la substitució és el fitxer que realment s'utilitza i no una còpia que va arribar al costat.

La verificació vol dir una autenticació nova amb el material nou i una comprovació de l'aplicació que l'usuari necessita. Un túnel ja establert pot reflectir encara la credencial anterior, així que una connexió oberta no és prova d'una renovació correcta.

Dissenyeu primer la recuperació de la finestra perduda

Quan un portàtil només arriba al servei d'inscripció a través de la VPN, la caducitat crea un bucle: el dispositiu necessita un certificat per entrar al túnel i el túnel per obtenir el certificat. Decidiu l'arranjament fora de banda abans que surti la primera tasca programada, tant si és un punt d'inscripció autenticat a part com una reinscripció assistida per l'administrador.

Triïs el que triïs, ha de verificar el sol·licitant i el dret actual. Configurar el servidor perquè accepti certificats caducats de qualsevol que ho demani no és un camí de recuperació, és un afebliment permanent de la comprovació que vau defensar amb la resta del disseny.

Finalment, manteniu la renovació i la compromissió en procediments separats. Una clau filtrada necessita revocació i una resposta a les sessions actives, i allargar la data de caducitat no conté res d'això. Incloeu un dispositiu sense connexió, un lliurament fallit i un actiu retirat a la prova d'acceptació, i la programació estarà a punt per activar.