Mae mewngofnodi VPN newydd yn methu tra bo tystysgrifau’n ddilys: gwirio’r CRL

Mae tystysgrifau sydd â misoedd yn weddill a mewngofnodi sy’n methu ar unwaith yn cyfeirio at ddau wrthrych gwahanol ar ddwy gloc wahanol. Mae’r gweinydd yn gwrthod cysylltiadau oherwydd bod y rhestr o dystysgrifau dirymedig y mae’n ymgynghori â hi wedi mynd heibio ei dyddiad dod i ben ei hun, nid oherwydd bod tystysgrifau’r defnyddwyr wedi dyddio. Nid yw adnewyddu tystysgrif defnyddiwr yn gwneud dim i’r rhestr honno.

Gwahanu’r ddau amserlen yw’r holl ddiagnosis, ac mae’n newid beth yw’r union atgyweiriad.

Dwy gloc, a dim ond un ohonynt yw’r dystysgrif

Mae tystysgrif yn cario ffenestr ddilysrwydd. Mae rhestr dirymu tystysgrifau yn cario ei ffenestr ei hun, ynghyd â dyroddwr a llofnod, ac mae gwiryddion yn gwrthod ymddiried mewn rhestr y mae ei hamser diweddaru nesaf wedi mynd heibio. Pan fydd hynny’n digwydd, mae’r cleient yn cyflwyno tystysgrif berffaith ddilys ac mae’r gweinydd yn dal i ollwng y cysylltiad â neges am y rhestr. Mae defnyddwyr yn darllen y neges honno fel 'mae’r dystysgrif wedi dod i ben', sy’n anfon y cais adnewyddu i’r lle anghywir.

Mae gan y ddau wrthrych berchnogion gwahanol hefyd: mae’r dystysgrif yn dod o’r CA a’i dyroddodd, tra bod y rhestr yn cael ei chynhyrchu ar amserlen gan bwy bynnag sy’n gweithredu’r CA honno. Ni all defnyddiwr ei hadnewyddu, ac ni all ailddyroddi tystysgrifau ei hymestyn.

Darllenwch y rhestr y mae’r gwasanaeth yn ei llwytho mewn gwirionedd

Dechreuwch o’r cyfluniad sy’n rhedeg yn hytrach nag o’r ffeil rydych yn ei disgwyl. Gall llwybr crl-verify fod yn absoliwt, yn gymharol â’r proffil, neu’n gopi wedi’i bobi i mewn i image, ac mae’r gwirydd yn darllen y gopi honno. Archwiliwch hi yn ei lle gyda openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate a chymharwch y dyddiadau â chloc y gweinydd.

Yna cadarnhewch mai’r ffeil yw’r un sy’n cael ei defnyddio mewn gwirionedd: gwiriwch ei llofnod gyda openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout, sy’n adrodd canlyniad dilysu yn hytrach na phrintio meysydd yn ddistaw. Mae rhestr wedi’i llofnodi gan CA gwahanol, neu gopi hen wedi’i gadael mewn ail gyfeiriadur, yn methu yn union fel un sydd wedi dod i ben.

Ailgynhyrchwch o’r gronfa ddata dirymu, nid o’r dechrau

Rhaid i’r rhestr newydd ddod o gronfa ddata dirymu gyfredol y CA, drwy’r broses lofnodi gymeradwy. Mae cynhyrchu rhestr wag, neu ailgynhyrchu o hen gopi wrth gefn o’r mynegai, yn dadwneud yn ddistaw bob hunaniaeth a ychwanegwyd ers y copi wrth gefn hwnnw. Mae hynny’n troi methiant mewngofnodi yn regres diogelwch, ac nid oes neb yn sylwi oherwydd bod y symptom yn diflannu.

Cadwch y cam cynhyrchu o dan reolaeth fersiwn gyda gweddill offer y CA, fel bod y cyfwng a’r allwedd lofnodi yn cael eu dogfennu yn hytrach na’u cofio. Mae digon o gofnod mewn runbook sy’n enwi’r gorchymyn, y llofnodwr a’r targed cyhoeddi. Yna gall unrhyw un sydd ar alwad ailgynhyrchu heb ddyfalu pa ffeil fynegai sy’n awdurdodol. Storiwch rif cyfresol y rhestr a’r amser diweddaru nesaf gyda’r cofnod defnyddio.

Defnyddiwch y lle y mae’r gwirydd yn edrych

Copïwch y rhestr newydd i’r llwybr y mae’r gwasanaeth yn ei ddarllen, gosodwch berchnogaeth a modd fel y gall cyfrif y gwasanaeth ei darllen ond na all eraill, ac ail-lwythwch neu ailgychwyn yn ôl yr ymddygiad a ddogfennwyd. Os yw’r daemon yn cacheio’r rhestr wrth gychwyn, nid yw disodli’r ffeil heb ail-lwytho yn newid unrhyw beth y bydd y broses sy’n rhedeg yn ei sylwi. Cadarnhewch y stamp amser y mae’r broses yn ei adrodd ar ôl yr ail-lwytho.

Os yw sawl gwasanaeth yn dilysu cleientiaid, defnyddiwch bob un ohonynt. Mae diweddaru un pwynt terfyn a gadael un arall â’r hen gopi yn cynhyrchu methiant sy’n ymddangos yn unig i’r defnyddwyr sy’n glanio ar yr ail un. Cadwch restr fer o’r pwyntiau terfyn hynny yn yr un runbook. Ar ôl y defnydd, gwiriwch ddyddiad y rhestr a adroddir gan bob un yn hytrach na chymryd yn ganiataol bod y copi wedi cyrraedd.

Gwnewch y dyddiad cau nesaf yn weladwy cyn iddo basio

Mae cyfwng cyhoeddi hirach yn gostwng amlder y digwyddiad hwn heb greu proses. Dewiswch y cyfwng o bolisi’r gweithredwr, yna rhybuddiwch ar faes diweddaru nesaf y rhestr a ddefnyddiwyd, gyda digon o amser i ailgynhyrchu a defnyddio. Rhybuddiwch ar y copi a ddefnyddiwyd, nid ar westy’r CA, oherwydd y copi a ddefnyddiwyd sy’n methu.

Ar ôl y defnydd, gwiriwch y ddau gyfeiriad: mae defnyddiwr a ganiateir yn cysylltu, ac mae hunaniaeth ddileu hysbys yn dal i fethu. Yr ail wiriad yw’r un sy’n dal ailgynhyrchu anghyflawn, ac mae’n cymryd un gorchymyn yn erbyn proffil prawf rydych yn ei gadw at y diben hwn yn union.