Dit VPN-certifikat udløber i dag: hvad der faktisk stopper

Udløbsadvarslen udløses, tunnelen sender stadig trafik, og ingen kan blive enige om, hvorvidt datoen betyder noget. Det gør den, men ikke altid på det tidspunkt, der er trykt på certifikatet. Et udløbet certifikat stopper nye godkendelser, og det stopper de revalideringer, som nogle implementeringer udfører inde i en langvarig session. Om din eksisterende tunnel dør ved midnat, afhænger af protokollen, klienten og serverens indstillinger for genforhandling. Planlæg fornyelsen før datoen, og verificér den med et nyt login i stedet for med den session, der allerede var oppe.

Find ud af, hvilket certifikat der faktisk udløber

En udrulning indeholder et serverløv, klientlegitimationsoplysninger, en eller flere mellemliggende certifikater og et tillidsanker, og de udløber ikke samtidigt. Læs det certifikat, der nævnes i fejlen, og den kæde, det blev præsenteret med, ikke den første fil i profilmappen. Et serverløv, der fornyes rent, kan stadig fejle, hvis det mellemliggende certifikat over det er udløbet. Skriv emne, udsteder, not-after og udrulningsplacering for hver fil ned, før du ændrer noget.

Tillidsankeret er normalt det længstlevende objekt og den mindst sandsynlige årsag.

Hvorfor en levende session kan overleve datoen

Godkendelse sker ved forbindelsesoprettelse, og nogle protokoller tjekker identiteten igen senere. OpenVPN genforhandler datakanalen på en timer, så en genforhandling, der præsenterer et udløbet certifikat, fejler, selv om tunnelen har været oppe i timer. Implementeringer, der aldrig revaliderer, kan bære en etableret session forbi udløbsdatoen, og derfor er «det virker stadig» ikke bevis. Ingen af de to adfærdsmønstre er noget, man kan planlægge efter.

Behandl datoen som deadline for nye logins og sessionens levetid som lånt tid.

Kontroller uret, før du bebrejder certifikatet

Gyldighed vurderes mod det lokale ur, så en enhed med forkert tid rapporterer en gyldighedsfejl for et certifikat, der er helt aktuelt. Kontroller klienten, serveren og enhver enhed på vejen.

Et ur, der nulstilles ved opstart, forklarer fejl, der først vises efter en strømafbrydelse.

Forny gennem den myndighed, der udstedte det

Bevar identiteten, det tilsigtede formål og en kompatibel nøglekonfiguration. Hvis fornyelsen introducerer en ny udsteder eller et fastgjort certifikat, har klienterne brug for en koordineret tillidsopdatering i stedet for en filudskiftning på serveren. Beskyt private nøgler under udstedelse og distribution, fordi et fornyet certifikat ikke tilbagekalder en kompromitteret gammel nøgle. En nulstilling af adgangskoden er ikke en fornyelse, uanset hvad billetten siger.

Offentliggør den nye kæde fuldstændigt, da et løv uden sit mellemliggende certifikat er en halv fornyelse, der kun virker på maskiner, som allerede har cachelagret det.

Bevis det med et nyt login, behold en tilbagerulning

Efter udrulningen skal du oprette en ny tilladt forbindelse fra en repræsentativ klient og afprøve den faktiske applikation. Kontroller, at kæden leveres, som klienterne forventer, og at eventuelle tilbagekaldelsesoplysninger er tilgængelige. Behold en tilbagerulning, der ikke afhænger af at stole på udløbet materiale, så du kan vende tilbage til den tidligere tilstand uden at svække verifikationen. Fjern først de forældede filer, når erstatningen er verificeret.

Eksisterende sessioner kan stadig afspejle en tidligere tilstand, så de beviser intet i nogen retning.

Den rækkefølge, jeg bruger på dagen

Bekræft det udløbende objekt og dets kæde, og bekræft derefter urene:

• Hvilket certifikat udløber, og hvilken kæde det hører til.
• Om hvert mellemliggende certifikat er udrullet og offentliggjort.
• Klientens og serverens ure stemmer overens inden for en rimelig margen.
• Et nyt login lykkes fra en repræsentativ klient.
• Tilbagekaldelsesoplysninger er tilgængelige.
• Der findes en tilbagerulning, der ikke svækker verifikationen.

Forny derefter, udrul hele kæden, test med et nyt login, og ryd først op bagefter. Gyldighedsperioder og reglerne for at vurdere dem er defineret i RFC 5280, og datoen er ikke en overraskelse, hvis din overvågning har holdt øje med det objekt, der faktisk udløber.