Adnewyddu tystysgrifau OpenVPN: danfon y dystysgrif, nid yr amserydd

Mae dau gynllun adnewyddu yn edrych yn unfath mewn adolygiad dylunio ac yn ymddwyn yn hollol wahanol ym mis Ionawr. Mae'r cyntaf yn rhedeg amserydd, yn ailgyhoeddi tystysgrifau ac yn gollwng ffeiliau i ffolder a rennir. Mae'r ail yn trin adnewyddu fel problem danfon: pwy sy'n gofyn, beth sy'n profi cymhwysedd, sut mae'r deunydd yn cyrraedd y ddyfais, a beth sy'n gwneud i'r cleient ei ddefnyddio. Dim ond yr ail sy'n goroesi gliniadur all-lein, ased sydd wedi'i dynnu o wasanaeth a danfoniad a fethodd yn dawel.

Cymharwch y ddau gynllun lle maen nhw'n wirioneddol wahanol

Mae'r cynllun amserydd yn optimeiddio ochr y gweinydd. Mae tasg a drefnwyd yn galw'r CA, mae tystysgrif newydd yn ymddangos, ac mae'r gweithredwr yn ystyried y gwaith wedi'i wneud. Mae popeth sy'n digwydd ar ôl cyhoeddi yn broblem rhywun arall, nes bod dyfais yn methu cysylltu ac mae'r dyddiad dod i ben yn esbonio pam.

Mae'r cynllun llif gwaith yn optimeiddio'r filltir olaf. Mae'n cymryd yn ganiataol bod cyhoeddi yn un cam mewn cadwyn a bod pob cam diweddarach yn gallu methu'n annibynnol. Mae hynny'n costio mwy i'w adeiladu a llawer llai i'w weithredu, oherwydd mae'r methiannau'n ymddangos fel cyflyrau a olrheinir yn hytrach na chleientiaid sydd wedi dod i ben.

Ffordd ddefnyddiol o gadw'r gwahaniaeth mewn golwg yw'r dilyniant y mae'n rhaid i bob cynllun ei enwi'n benodol.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Canfod y ffenestr o'r dystysgrif ei hun

Darllenwch y dilysrwydd o'r dystysgrif y mae'r cleient yn ei chyflwyno mewn gwirionedd, nid o'r dyddiad sydd wedi'i ymgorffori mewn enw ffeil a gopïwyd. Mae enwau ffeiliau'n drifftio, a gall ffeil sy'n dweud 2026 ddal tystlythyr sy'n dod i ben ym mis Mawrth.

Gadewch arosiad yn y ffenestr ar gyfer yr achosion araf: dyfeisiau sy'n all-lein am wythnosau, cymeradwyaethau sy'n gofyn am berson, a llwybrau danfon sy'n methu unwaith cyn gweithio. Mae amserydd sy'n adrodd llwyddiant yn profi bod yr amserydd wedi rhedeg, dim mwy.

Awdurdodwch y cais cyn cyhoeddi unrhyw beth

Gall tystysgrif bresennol fod yn rhan o fecanwaith adnewyddu cyfreithlon, ond nid yw ei destun pwnc yn benderfyniad awdurdodi. Y cwestiwn i'w ateb yw a oes gan y cyfrif hwn a'r ddyfais hon hawl o hyd i hunaniaeth yn y fflyd, ac mae'r ateb hwnnw'n byw yn eich cofnodion asedau yn hytrach nag yn y dystysgrif.

Ni ddylai gliniadur sydd wedi'i dynnu o wasanaeth ac y mae ei dasg a drefnwyd yn dal i redeg dderbyn hawl newydd. RFC 7030 yn werth ei ddarllen yma oherwydd mae'n gwahanu ailgofrestru dilysedig oddi wrth awdurdodi a pholisi ochr y gweinydd; mae'n fodel i'w fenthyca, nid yn honiad bod OpenVPN neu EasyRSA yn danfon y protocol hwnnw.

Danfon, llwyfannu a gweithredu fel camau ar wahân

Mae cyhoeddi yn cadw hunaniaeth, pwrpas a pherthynas gyhoeddi, ac mae ailosodiad a gynhyrchwyd gyda phâr allwedd newydd yn ddiwerth oni bai bod yr allwedd gyfatebol yn teithio gydag ef. Danfonwch y pâr dros sianel y mae dyluniad rheoli mynediad y tu ôl iddi, oherwydd mae URL na ellir ei ddyfalu yn guddio yn hytrach na rheolaeth.

Llwyfannu yw lle mae'r rhan fwyaf o awtomeiddio yn torri'n dawel. Gall proffil a fewnforiwyd fod mewn un lleoliad tra bo gweinyddwr yn diweddaru ffeil yn rhywle arall, ac mae'r cleient yn dal i gyflwyno'r hen dystysgrif nes bod rhywun yn sylwi. Ysgrifennwch y llwybr y mae'r cleient yn ei ddarllen, y cyfrif a ganiateir i ysgrifennu iddo, a'r digwyddiad sy'n sbarduno ail-lwytho. Yna cadarnhewch mai'r ailosodiad yw'r ffeil sydd mewn gwirionedd yn cael ei defnyddio, nid copi a gyrhaeddodd wrth ei hymyl.

Mae dilysu yn golygu dilysiad newydd gyda'r deunydd newydd a gwiriad o'r rhaglen y mae ar y defnyddiwr ei hangen. Gall twnnel a sefydlwyd yn barod adlewyrchu'r tystlythyr blaenorol o hyd, felly nid yw cysylltiad agored yn dystiolaeth o adnewyddu llwyddiannus.

Dyluniwch adferiad y ffenestr a gollwyd yn gyntaf

Pan fo gliniadur yn cyrraedd y gwasanaeth cofrestru trwy'r VPN yn unig, mae dod i ben yn creu dolen: mae ar y ddyfais angen tystysgrif i fynd i mewn i'r twnnel, ac ar y twnnel i nôl y dystysgrif. Penderfynwch ar y trefniant all-gwmpas cyn i'r dasg gyntaf a drefnwyd gael ei lansio, boed yn benbwynt cofrestru dilysedig ar wahân neu'n ailgofrestru gyda chymorth gweinyddwr.

Beth bynnag a ddewiswch, rhaid iddo ddilysu'r gofynnwr a'r hawl bresennol. Nid yw ffurfweddu'r gweinydd i dderbyn tystysgrifau sydd wedi dod i ben gan unrhyw un sy'n gofyn yn llwybr adfer, mae'n gwanhau parhaol y gwiriad y gwnaethoch ei amddiffyn gyda gweddill y dyluniad.

Yn olaf, cadwch adnewyddu a chyfaddawd mewn gweithdrefnau ar wahân. Mae allwedd sydd wedi gollwng yn gofyn am ddirymu ac ymateb i sesiynau gweithredol, ac nid oes dim o hynny yn estyn y dyddiad dod i ben. Cynhwyswch ddyfais all-lein, danfoniad a fethodd ac ased sydd wedi'i dynnu o wasanaeth yn y prawf derbyn, ac mae'r amserlen yn barod i'w galluogi.