Tu certificado VPN caduca hoy: qué se detiene en realidad

Salta la alerta de caducidad, el túnel sigue pasando tráfico y nadie se pone de acuerdo sobre si la fecha importa. Importa, pero no siempre en el instante impreso en el certificado. Un certificado caducado detiene las autenticaciones nuevas y detiene las revalidaciones que algunas implementaciones realizan dentro de una sesión de larga duración. Si tu túnel existente muere a medianoche depende del protocolo, del cliente y de la configuración de renegociación del servidor. Planifica la renovación antes de la fecha y verifícala con un inicio de sesión nuevo en lugar de con la sesión que ya estaba abierta.

Averigua qué certificado caduca en realidad

Un despliegue contiene un certificado hoja de servidor, credenciales de cliente, uno o varios intermedios y un anclaje de confianza, y no caducan juntos. Lee el certificado nombrado en el error y la cadena con la que se presentó, no el primer archivo del directorio del perfil. Un hoja de servidor que se renueva limpiamente puede fallar igualmente si el intermedio por encima ha caducado. Anota el sujeto, el emisor, el not-after y la ubicación de despliegue de cada archivo antes de cambiar nada.

El anclaje de confianza suele ser el objeto más longevo y la causa menos probable.

Por qué una sesión viva puede sobrevivir a la fecha

La autenticación ocurre al establecer la conexión, y algunos protocolos vuelven a comprobar la identidad más tarde. OpenVPN renegocia el canal de datos con un temporizador, así que una renegociación que presenta un certificado caducado falla aunque el túnel lleve horas activo. Las implementaciones que nunca revalidan pueden mantener una sesión establecida más allá de la fecha de caducidad, y por eso «sigue funcionando» no es una prueba. Ninguno de los dos comportamientos es algo con lo que se pueda planificar.

Trata la fecha como la fecha límite para los inicios de sesión nuevos y la vida de la sesión como tiempo prestado.

Comprueba el reloj antes de culpar al certificado

La validez se evalúa contra el reloj local, así que un dispositivo con la hora incorrecta informa de un fallo de validez para un certificado perfectamente vigente. Comprueba el cliente, el servidor y cualquier dispositivo en la ruta.

Un reloj que se reinicia al arrancar explica los fallos que solo aparecen tras un corte de corriente.

Renueva a través de la autoridad que lo emitió

Conserva la identidad, el propósito previsto y una configuración de clave compatible. Si la renovación introduce un emisor nuevo o un certificado fijado, los clientes necesitan una actualización de confianza coordinada en lugar de un cambio de archivo en el servidor. Protege las claves privadas durante la emisión y la distribución, porque un certificado renovado no revoca una clave antigua comprometida. Restablecer la contraseña no es renovar, diga lo que diga el ticket.

Publica la cadena nueva por completo, ya que un hoja sin su intermedio es media renovación que solo funciona en máquinas que ya lo tenían en caché.

Demuéstralo con un inicio de sesión nuevo, mantén una reversión

Tras el despliegue, establece una conexión permitida nueva desde un cliente representativo y prueba la aplicación real. Comprueba que la cadena se entrega como los clientes esperan y que cualquier información de revocación es accesible. Mantén una reversión que no dependa de confiar en material caducado, para poder volver al estado anterior sin debilitar la verificación. Elimina los archivos obsoletos solo después de verificar el reemplazo.

Las sesiones existentes pueden reflejar todavía un estado anterior, así que no prueban nada en ningún sentido.

El orden que uso el día

Confirma el objeto que caduca y su cadena, luego confirma los relojes:

• Qué certificado caduca y a qué cadena pertenece.
• Si cada intermedio está desplegado y publicado.
• Los relojes del cliente y del servidor coinciden dentro de un margen razonable.
• Un inicio de sesión nuevo tiene éxito desde un cliente representativo.
• La información de revocación es accesible.
• Existe una reversión que no debilita la verificación.

Luego renueva, despliega la cadena completa, prueba con un inicio de sesión nuevo y solo después limpia. Los periodos de validez y las reglas para evaluarlos se definen en RFC 5280, y la fecha no es una sorpresa si tu monitorización vigilaba el objeto que realmente caduca.