Το πιστοποιητικό VPN σας λήγει σήμερα: τι σταματά στην πραγματικότητα

Η ειδοποίηση λήξης ενεργοποιείται, η σήραγγα εξακολουθεί να περνά κίνηση και κανείς δεν συμφωνεί αν η ημερομηνία έχει σημασία. Έχει, αλλά όχι πάντα τη στιγμή που είναι τυπωμένη στο πιστοποιητικό. Ένα ληγμένο πιστοποιητικό σταματά νέους ελέγχους ταυτότητας και σταματά τις επαναλήψεις επικύρωσης που κάνουν ορισμένες υλοποιήσεις μέσα σε μια μακρόχρονη συνεδρία. Το αν η υπάρχουσα σήραγγα σας πεθάνει τα μεσάνυχτα εξαρτάται από το πρωτόκολλο, τον πελάτη και τις ρυθμίσεις επαναδιαπραγμάτευσης του διακομιστή. Σχεδιάστε την ανανέωση πριν από την ημερομηνία και επαληθεύστε την με νέα σύνδεση και όχι με τη συνεδρία που ήταν ήδη ανοιχτή.

Βρείτε ποιο πιστοποιητικό λήγει στην πραγματικότητα

Μια ανάπτυξη περιέχει ένα φύλλο διακομιστή, διαπιστευτήρια πελάτη, ένα ή περισσότερα ενδιάμεσα πιστοποιητικά και ένα άγκυστρο εμπιστοσύνης, και δεν λήγουν μαζί. Διαβάστε το πιστοποιητικό που αναφέρεται στο σφάλμα και την αλυσίδα με την οποία παρουσιάστηκε, όχι το πρώτο αρχείο στον κατάλογο προφίλ. Ένα φύλλο διακομιστή που ανανεώνεται καθαρά μπορεί ακόμη να αποτύχει αν το ενδιάμεσο από πάνω του έχει λήξει. Γράψτε το θέμα, τον εκδότη, το not-after και τη θέση ανάπτυξης κάθε αρχείου πριν αλλάξετε οτιδήποτε.

Το άγκυστρο εμπιστοσύνης είναι συνήθως το πιο μακρόβιο αντικείμενο και η λιγότερο πιθανή αιτία.

Γιατί μια ζωντανή συνεδρία μπορεί να ξεπεράσει την ημερομηνία

Ο έλεγχος ταυτότητας γίνεται κατά τη ρύθμιση της σύνδεσης και ορισμένα πρωτόκολλα επανελέγχουν την ταυτότητα αργότερα. Το OpenVPN επαναδιαπραγματεύεται το κανάλι δεδομένων με χρονόμετρο, έτσι μια επαναδιαπραγμάτευση που παρουσιάζει ληγμένο πιστοποιητικό αποτυγχάνει ακόμη κι αν η σήραγγα είναι ανοιχτή για ώρες. Υλοποιήσεις που δεν επικυρώνουν ποτέ ξανά μπορούν να μεταφέρουν μια εδραιωμένη συνεδρία πέρα από την ημερομηνία λήξης, και γι’ αυτό το «ακόμη λειτουργεί» δεν είναι απόδειξη. Καμία από τις δύο συμπεριφορές δεν είναι κάτι γύρω από το οποίο μπορείτε να σχεδιάσετε.

Αντιμετωπίστε την ημερομηνία ως προθεσμία για νέες συνδέσεις και τη διάρκεια ζωής της συνεδρίας ως δανεικό χρόνο.

Ελέγξτε το ρολόι πριν κατηγορήσετε το πιστοποιητικό

Η εγκυρότητα αξιολογείται με βάση το τοπικό ρολόι, έτσι μια συσκευή με λάθος ώρα αναφέρει αποτυχία εγκυρότητας για ένα πιστοποιητικό που είναι απολύτως τρέχον. Ελέγξτε τον πελάτη, τον διακομιστή και οποιαδήποτε συσκευή στη διαδρομή.

Ένα ρολόι που μηδενίζεται κατά την εκκίνηση εξηγεί αστοχίες που εμφανίζονται μόνο μετά από διακοπή ρεύματος.

Ανανεώστε μέσω της αρχής που το εξέδωσε

Διατηρήστε την ταυτότητα, τον προοριζόμενο σκοπό και μια συμβατή διαμόρφωση κλειδιού. Αν η ανανέωση εισάγει νέο εκδότη ή καρφιτσωμένο πιστοποιητικό, οι πελάτες χρειάζονται συντονισμένη ενημέρωση εμπιστοσύνης και όχι αντικατάσταση αρχείου στον διακομιστή. Προστατέψτε τα ιδιωτικά κλειδιά κατά την έκδοση και τη διανομή, γιατί ένα ανανεωμένο πιστοποιητικό δεν ανακαλεί ένα παραβιασμένο παλιό κλειδί. Η επαναφορά κωδικού δεν είναι ανανέωση, ό,τι κι αν λέει το δελτίο.

Δημοσιεύστε την νέα αλυσίδα πλήρως, γιατί ένα φύλλο χωρίς το ενδιάμεσό του είναι μισή ανανέωση που λειτουργεί μόνο σε μηχανήματα που το έχουν ήδη στην κρυφή μνήμη.

Αποδείξτε το με νέα σύνδεση, κρατήστε δυνατότητα επαναφοράς

Μετά την ανάπτυξη, δημιουργήστε μια νέα επιτρεπόμενη σύνδεση από αντιπροσωπευτικό πελάτη και δοκιμάστε την πραγματική εφαρμογή. Ελέγξτε ότι η αλυσίδα παραδίδεται όπως περιμένουν οι πελάτες και ότι οποιαδήποτε πληροφορία ανάκλησης είναι προσβάσιμη. Κρατήστε μια επαναφορά που δεν εξαρτάται από την εμπιστοσύνη σε ληγμένο υλικό, ώστε να επιστρέψετε στην προηγούμενη κατάσταση χωρίς να αποδυναμώσετε την επαλήθευση. Αφαιρέστε τα παρωχημένα αρχεία μόνο αφού επαληθευτεί η αντικατάσταση.

Οι υπάρχουσες συνεδρίες μπορεί ακόμη να αντικατοπτρίζουν παλαιότερη κατάσταση, οπότε δεν αποδεικνύουν τίποτα προς καμία κατεύθυνση.

Η σειρά που χρησιμοποιώ την ημέρα

Επιβεβαιώστε το αντικείμενο που λήγει και την αλυσίδα του, μετά επιβεβαιώστε τα ρολόγια:

• Ποιο πιστοποιητικό λήγει και σε ποια αλυσίδα ανήκει.
• Αν κάθε ενδιάμεσο πιστοποιητικό έχει αναπτυχθεί και δημοσιευτεί.
• Τα ρολόγια πελάτη και διακομιστή συμφωνούν εντός λογικού περιθωρίου.
• Μια νέα σύνδεση πετυχαίνει από αντιπροσωπευτικό πελάτη.
• Η πληροφορία ανάκλησης είναι προσβάσιμη.
• Υπάρχει επαναφορά που δεν αποδυναμώνει την επαλήθευση.

Στη συνέχεια ανανεώστε, αναπτύξτε την πλήρη αλυσίδα, δοκιμάστε με νέα σύνδεση και μόνο μετά καθαρίστε. Οι περίοδοι ισχύος και οι κανόνες αξιολόγησής τους ορίζονται στο RFC 5280, και η ημερομηνία δεν είναι έκπληξη αν η παρακολούθησή σας έβλεπε το αντικείμενο που λήγει πραγματικά.