Adnewyddu tystysgrif VPN heb newid ei hunaniaeth

Nid adnewyddiad yw adnewyddiad tystysgrif sy’n newid y hunaniaeth; mae’n ymfudo mewn ticed cynnal a chadw. Mae’r cleient yn gwirio enw, cadwyn ac weithiau allwedd benodol, a gall y tri newid heb i’r dyddiad dod i ben newid. Cyn gofyn am ddisodliad, nodwch yr hyn y mae’r cleient yn ei wirio mewn gwirionedd: yr enw gwesteiwr neu hunaniaeth y partner, diben y dystysgrif, y polisi allweddi a’r gadwyn gyhoeddi. Mae’r adnewyddiad yn arferol neu’n gydgysylltiedig yn dibynnu ar ba un o’r rhain y mae’r disodliad yn ei newid.

Mae tri amod yn penderfynu siâp yr adnewyddiad

Y tri amod yw a oes rhywbeth yn pinio’r ddalen, a yw’r gadwyn yn newid, a phwy arall sy’n gwirio’r enw. Atebwch o ochr y cleient yn hytrach nag o gyfleustra’r CA, oherwydd y cleient yw’r hyn sy’n methu am dri o’r gloch y bore.

Dechreuwch drwy archwilio’r dystysgrif sydd gennych. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName yn argraffu’r pwnc, y cyhoeddwr, y ffenestr dilysrwydd a’r enwau y mae’r dystysgrif wir yn ddilys ar eu cyfer. Mae’r maes olaf yn bwysicaf ac yn cael ei dybio amlaf: mae cais adnewyddu sy’n hepgor SAN y mae’r cleient yn dibynnu arno yn cynhyrchu tystysgrif sy’n dechnegol ddilys ac yn weithredol anghywir. Copïwch y rhestr SAN o’r hen dystysgrif i’r cais yn hytrach na’i hail-deipio o gof.

Amod un: a oes rhywbeth yn pinio’r ddalen

Os yw cleientiaid yn ymddiried mewn CA a gynhelir ac yn gwirio’r enw, mae adnewyddiad dalen ag allwedd newydd yn anweledig iddynt. Os oes unrhyw gleient yn pinio’r dystysgrif ddalen, ei ôl bys neu ei allwedd gyhoeddus, mae’r disodliad yn newid cydgysylltiedig â thro pedwar caled, oherwydd ni all yr hen bin ddilysu’r dystysgrif newydd.

Darganfyddwch pa achos sydd gennych cyn archebu unrhyw beth. Mae pin na chofnodwyd mohono gan neb yn dal yn bin pan fydd yn torri.

Amod dau: cymharwch y piniau a’r gadwyn

Mae olion bysedd yn gwneud y pin yn wirioadwy: openssl x509 -noout -fingerprint -sha256 -in server.crt ar yr hen dystysgrif a’r un newydd, a openssl x509 -noout -pubkey i gymharu allweddi cyhoeddus. Os yw cyfluniad y cleient, proffil symudol neu storfa ymddiriedaeth offer yn cynnwys y naill werth neu’r llall, mae gennych bin. Mae proffiliau VPN symudol yn guddfan gyffredin, oherwydd dosberthir y proffil unwaith ac ni archwilir ef byth eto.

Os daw’r disodliad o’r un canolradd a bod y cleient eisoes yn ei gael neu’n gallu ei nôl, nid oes dim yn newid ar ochr yr ymddiriedaeth. Mae canolradd newydd, cyhoeddwr gwahanol neu gadwyn a ddanfonir yn y drefn anghywir i gyd yn troi adnewyddiad yn newid ymddiriedaeth, ac mae’r methiant yn edrych fel cyhoeddwr anhysbys yn hytrach na thystysgrif sydd wedi dod i ben.

Gwiriwch y gadwyn y mae’r gweinydd yn ei hanfon mewn gwirionedd gyda openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts, a’i gwirio’n lleol gyda openssl verify -CAfile ca.pem -untrusted chain.pem server.crt. Mae gwneud hynny cyn y newid yn rhoi llinell sylfaen i chi i gymharu â hi wedyn.

Amod tri: pwy arall sy’n gwirio’r enw

Gall crynodydd VPN, cydbwysydd llwyth, phrawf monitro, integreiddiad RADIUS neu SAML a phroffil symudol bob un ddal ei gopi ei hun o’r enw disgwyliedig neu’r angor ymddiriedaeth. Yr adnewyddiad yw’r eiliad y mae’r copïau hynny’n ymwahanu, oherwydd mae’r dystysgrif yn newid ac nid yw’r copïau.

Rhestrwch bob defnyddiwr cyn y newid a phenderfynwch, ar gyfer pob un, a oes angen diweddariad arno. Yr un a anghofiwch yw’r un sy’n eich galw.

Mae yna drap amser hefyd. Archwiliwch ddechrau dilysrwydd yn ogystal â’r dyddiad dod i ben, oherwydd gwrthodir tystysgrif a baratowyd ar gyfer ei actifadu’n ddiweddarach os caiff ei gosod yn rhy gynnar, ac mae’r gwall yn edrych fel problem cloc yn hytrach na phroblem paratoi. openssl x509 -noout -dates ar y ffeil newydd cyn i chi ei defnyddio yn wiriad dau eiliad. Cadwch lwybr adferiad a gefnogir a’r cyfluniad hysbys-dda hefyd, fel bod adnewyddiad sy’n mynd o chwith yn gildroadwy drwy adfer y dystysgrif a’r allwedd flaenorol.

Defnyddiwch, gwiriwch ag uwchadnabyddiaeth newydd, yna ymddeolwch

Mae twnnel sefydledig yn adlewyrchu’r dilysiad a ddigwyddodd pan gafodd ei adeiladu, felly gall edrych yn iach tra bod pob cysylltiad newydd yn methu. Profwch ag uwchadnabyddiaeth newydd gan ddefnyddio enw gwasanaeth gwirioneddol y cleientiaid.

Cwblhewch y gwiriad ar lefel cymhwysiad y mae’r defnyddiwr yn poeni amdano, a chadarnhewch ddanfon y gadwyn o safbwynt y cleient yn hytrach nag o safbwynt y gweinydd. Peidiwch â chadw’n dawel y gwiriadau enw na thystysgrif i gadw’r trefniant yn dawel; mae hynny’n troi problem gydnawsedd dros dro yn un barhaol.

Ymddeolwch ddeunydd anghyfredol yn unig ar ôl i’r defnydd gael ei wirio, a thriniwch allwedd sydd wedi’i chyfaddawdu fel achos hollol wahanol: nid yw adnewyddiad ar ei ben ei hun yn dirymu unrhyw beth, felly mae angen proses dirymu a thrin sesiynau’r defnydd ar yr hunaniaeth yr effeithiwyd arni. RFC 5280 sy’n diffinio’r rheolau tystysgrif a dilysu llwybr o dan hyn i gyd. Cadwch adnewyddiad dalen arferol ar wahân i amnewidiad CA, fel na ofynnir i gleientiaid ymddiried mewn cyhoeddwr newydd heb reswm.