Renovigo de OpenVPN-atestiloj: liveru la atestilon, ne la tempigilon

Du renovigaj dezajnoj aspektas identaj en dezajna revizio kaj kondutas tute alie en januaro. La unua ruligas tempigilon, reedonas atestilojn kaj ĵetas dosierojn en komunan dosierujon. La dua traktas renovigon kiel liveran problemon: kiu petas, kio pruvas taŭgecon, kiel la materialo atingas la aparaton, kaj kio igas la klienton uzi ĝin. Nur la dua postvivas senretan tekkomputilon, eksigitan valoraĵon kaj liveron, kiu malsukcesis silente.

Komparu la du dezajnojn tie, kie ili vere diferencas

La tempigila dezajno optimumigas la servilan flankon. Planita tasko vokas la CA, nova atestilo aperas, kaj la operatoro konsideras la laboron finita. Ĉio, kio okazas post eldono, estas problemo de iu alia, ĝis aparato malsukcesas konektiĝi kaj la findato klarigas kial.

La laborflua dezajno optimumigas la lastan mejlon. Ĝi supozas, ke eldono estas unu paŝo en ĉeno kaj ke ĉiu posta paŝo povas sendepende malsukcesi. Tio kostas pli por konstrui kaj multe malpli por funkciigi, ĉar la malsukcesoj aperas kiel spurataj statoj anstataŭ kiel eksvalidiĝintaj klientoj.

Utila maniero teni la diferencon en la vido estas la sinsekvo, kiun ĉiu dezajno devas eksplicite nomi.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Trovu la fenestron el la atestilo mem

Legu la validecon el la atestilo, kiun la kliento efektive prezentas, ne el la dato enigita en kopiitan dosiernomon. Dosiernomoj drivas, kaj dosiero, kiu diras 2026, povas enhavi identigilon, kiu eksvalidiĝas en marto.

Lasu marĝenon en la fenestro por la malrapidaj kazoj: aparatoj, kiuj estas senrete dum semajnoj, aproboj, kiuj bezonas personon, kaj liveraj vojoj, kiuj unufoje malsukcesas antaŭ ol funkcii. Tempigilo, kiu raportas sukceson, pruvas nur ke la tempigilo ruliĝis, nenion pli.

Rajtigu la peton antaŭ ol io ajn estos eldonita

Ekzistanta atestilo povas esti parto de legitima renoviga mekanismo, sed ĝia subjekta teksto ne estas rajtiga decido. La demando, kiun oni devas respondi, estas ĉu ĉi tiu konto kaj ĉi tiu aparato ankoraŭ rajtas je identeco en la floto, kaj tiu respondo loĝas en viaj valoraĵaj registroj, ne en la atestilo.

Eksigita tekkomputilo, kies planita tasko ankoraŭ ruliĝas, ne devus ricevi novan rajton. RFC 7030 indas legi ĉi tie, ĉar ĝi apartigas aŭtentikigitan reenregistriĝon de servilflanka rajtigo kaj politiko; ĝi estas modelo prunteprenebla, ne aserto, ke OpenVPN aŭ EasyRSA liveras tiun protokolon.

Liveri, prepari kaj aktivigi kiel apartajn paŝojn

Eldono konservas identecon, celon kaj eldonan rilaton, kaj anstataŭaĵo kreita per nova ŝlosilparo estas senutila, se la kongrua ŝlosilo ne vojaĝas kun ĝi. Liveru la paron tra kanalo, malantaŭ kiu staras alirkontrola dezajno, ĉar nekonjektebla URL estas kaŝado, ne kontrolo.

Preparado estas la loko, kie plej multaj aŭtomatigoj silente rompiĝas. Enportita profilo povas kuŝi en unu loko, dum administranto ĝisdatigas dosieron aliloke, kaj la kliento daŭre prezentas la malnovan atestilon, ĝis iu rimarkas. Skribu la vojon, kiun la kliento legas, la konton, kiu rajtas skribi al ĝi, kaj la eventon, kiu kaŭzas reŝargon. Poste konfirmu, ke la anstataŭaĵo estas la dosiero efektive uzata, ne kopio, kiu alvenis apude.

Kontrolo signifas freŝan aŭtentikigon per la nova materialo kaj kontrolon de la aplikaĵo, kiun la uzanto bezonas. Tunelo jam establita povas ankoraŭ speguli la antaŭan identigilon, do malfermita konekto ne estas pruvo de sukcesa renovigo.

Unue dezajnu la reakiron de la maltrafita fenestro

Kiam tekkomputilo atingas la aliĝservon nur tra la VPN, eksvalidiĝo kreas buklon: la aparato bezonas atestilon por eniri la tunelon kaj la tunelon por akiri la atestilon. Decidu la eksterbandan aranĝon antaŭ ol la unua planita tasko foriru, ĉu temas pri aparte aŭtentikigita aliĝfina punkto aŭ pri reenregistriĝo kun administranta helpo.

Kion ajn vi elektos, ĝi devas kontroli la petanton kaj la nunan rajton. Agordi la servilon akcepti eksvalidiĝintajn atestilojn de iu ajn, kiu petas, ne estas reakira vojo, ĝi estas permanenta malfortigo de la kontrolo, kiun vi defendis per la resto de la dezajno.

Fine, tenu renovigon kaj kompromiton en apartaj proceduroj. Likita ŝlosilo bezonas revokon kaj respondon al aktivaj sesioj, kaj etendigo de la findato enhavas nenion el tio. Inkluzivu senretan aparaton, malsukcesan liveron kaj eksigitan valoraĵon en la akceptan teston, kaj la horaro pretas por ebligi.