Fornyelse af OpenVPN-certifikater: lever certifikatet, ikke timeren

To fornyelsesdesign ser identiske ud i et designreview og opfører sig helt forskelligt i januar. Det første kører en timer, genudsteder certifikater og smider filer i en delt mappe. Det andet behandler fornyelse som et leveringsproblem: hvem spørger, hvad beviser berettigelse, hvordan når materialet enheden, og hvad får klienten til at bruge det. Kun det andet overlever en offline laptop, en udfaset enhed og en levering, der fejlede i stilhed.

Sammenlign de to designs, hvor de faktisk adskiller sig

Timerdesignet optimerer serversiden. En planlagt opgave kalder CA'en, et nyt certifikat dukker op, og operatøren anser arbejdet for gjort. Alt, der sker efter udstedelsen, er en andens problem, indtil en enhed ikke kan oprette forbindelse, og udløbsdatoen forklarer hvorfor.

Workflowdesignet optimerer den sidste mil. Det forudsætter, at udstedelse er ét led i en kæde, og at hvert senere led kan fejle uafhængigt. Det koster mere at bygge og meget mindre at drive, fordi fejlene viser sig som sporede tilstande i stedet for som udløbne klienter.

En nyttig måde at holde forskellen for øje er den rækkefølge, som hvert design skal navngive eksplicit.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Find vinduet ud fra certifikatet selv

Læs gyldigheden fra det certifikat, klienten faktisk fremviser, ikke fra den dato, der er indlejret i et kopieret filnavn. Filnavne driver, og en fil, der siger 2026, kan indeholde en legitimationsoplysning, der udløber i marts.

Levér luft i vinduet til de langsomme tilfælde: enheder, der er offline i uger, godkendelser, der kræver en person, og leveringsveje, der fejler én gang, før de virker. En timer, der rapporterer succes, beviser kun, at timeren kørte, intet mere.

Autoriser anmodningen, før noget udstedes

Et eksisterende certifikat kan være en del af en legitim fornyelsesmekanisme, men dets subjekttekst er ikke en autorisationsbeslutning. Spørgsmålet, der skal besvares, er, om denne konto og denne enhed stadig har ret til en identitet i flåden, og det svar findes i dine aktivregistre snarere end i certifikatet.

En udfaset laptop, hvis planlagte opgave stadig kører, bør ikke modtage en ny rettighed. RFC 7030 er værd at læse her, fordi den adskiller autentificeret genregistrering fra server-side autorisation og politik; det er en model at låne fra, ikke en påstand om, at OpenVPN eller EasyRSA leverer den protokol.

Levering, klargøring og aktivering som separate trin

Udstedelse bevarer identitet, formål og udstedelsesforhold, og en erstatning, der genereres med et nyt nøglepar, er ubrugelig, medmindre den matchende nøgle rejser med den. Levér parret over en kanal med et adgangskontroldesign bag sig, fordi en ugættelig URL er tilsløring snarere end kontrol.

Klargøring er der, hvor det meste automatisering stille går i stykker. En importeret profil kan ligge ét sted, mens en administrator opdaterer en fil et andet sted, og klienten bliver ved med at fremvise det gamle certifikat, indtil nogen bemærker det. Skriv stien ned, som klienten læser, den konto, der må skrive til den, og den hændelse, der udløser en genindlæsning. Bekræft derefter, at erstatningen er den fil, der faktisk bruges, og ikke en kopi, der ankom ved siden af.

Verifikation betyder en frisk godkendelse med det nye materiale og et tjek af den applikation, brugeren har brug for. En tunnel, der allerede er etableret, kan stadig afspejle den forrige legitimationsoplysning, så en åben forbindelse er ikke bevis på en vellykket fornyelse.

Design gendannelsen ved et misset vindue først

Når en laptop kun når tilmeldingsservicen via VPN'en, skaber udløbet en løkke: enheden skal bruge et certifikat for at komme ind i tunnelen og tunnelen for at hente certifikatet. Beslut udenbåndsordningen, før den første planlagte opgave sendes ud, uanset om det er et separat autentificeret tilmeldingsendepunkt eller genregistrering med administratorhjælp.

Uanset hvad du vælger, skal det verificere anmoderen og den aktuelle rettighed. At konfigurere serveren til at acceptere udløbne certifikater fra enhver, der spørger, er ikke en gendannelsesvej, det er en permanent svækkelse af det tjek, du forsvarede med resten af designet.

Endelig skal fornyelse og kompromittering holdes i separate procedurer. En lækket nøgle kræver tilbagekaldelse og en reaktion på aktive sessioner, og forlængelse af udløbsdatoen indeholder intet af det. Medtag en offline enhed, en mislykket levering og en udfaset enhed i accepttesten, og tidsplanen er klar til at blive aktiveret.