OpenVPN-i sertifikaatide uuendamine: toimetage kohale sertifikaat, mitte taimer

Kaks uuenduskavandit näevad kavandi ülevaatusel identsed välja ja käituvad jaanuaris hoopis erinevalt. Esimene käivitab taimeri, annab sertifikaadid uuesti välja ja pillab failid jagatud kausta. Teine käsitleb uuendamist kohaletoimetamise probleemina: kes küsib, mis tõendab õigust, kuidas materjal seadmesse jõuab ja mis paneb kliendi seda kasutama. Ainult teine peab vastu võrguühenduseta sülearvutile, kasutuselt kõrvaldatud varale ja kohaletoimetamisele, mis ebaõnnestus vaikselt.

Võrrelge kahte kavandit seal, kus need tõesti erinevad

Taimeriga kavand optimeerib serveripoolt. Ajastatud ülesanne kutsub CA, ilmub uus sertifikaat ja operaator peab tööd tehtuks. Kõik, mis juhtub pärast väljaandmist, on kellegi teise probleem, kuni seade ei suuda ühenduda ja aegumiskuupäev selgitab, miks.

Töövoo kavand optimeerib viimase miili. See eeldab, et väljaandmine on üks lüli ahelas ja et iga järgnev samm võib iseseisvalt ebaõnnestuda. See maksab ehitamisel rohkem ja käitamisel palju vähem, sest tõrked ilmuvad jälgitavate olekutena, mitte aegunud klientidena.

Kasulik viis erinevust silme ees hoida on järjekord, mille iga kavand peab selgesõnaliselt nimetama.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Tuvastage aken sertifikaadi enda järgi

Lugege kehtivust sertifikaadist, mida klient tegelikult esitab, mitte kopeeritud failinimesse põimitud kuupäevast. Failinimed triivivad ja fail, millel on kirjas 2026, võib sisaldada mandaati, mis aegub märtsis.

Jätke aknasse varu aeglaste juhtumite jaoks: seadmed, mis on nädalaid võrguühenduseta, kinnitused, mille jaoks on vaja inimest, ja kohaletoimetamise teed, mis ebaõnnestuvad korra enne tööle hakkamist. Taimer, mis teatab edust, tõestab ainult seda, et taimer töötas, mitte enamat.

Volitage taotlus enne, kui midagi välja antakse

Olemasolev sertifikaat võib olla osa seaduslikust uuendusmehhanismist, kuid selle subjekti tekst ei ole volitamisotsus. Küsimus, millele tuleb vastata, on see, kas sellel kontol ja sellel seadmel on endiselt õigus identiteedile pargis, ja see vastus elab teie varaandmetes, mitte sertifikaadis.

Kasutuselt kõrvaldatud sülearvuti, mille ajastatud ülesanne veel töötab, ei peaks saama uut õigust. RFC 7030 tasub siin lugeda, sest see eraldab autenditud uuesti registreerimise serveripoolsest volitamisest ja poliitikast; see on mudel, mida laenata, mitte väide, et OpenVPN või EasyRSA seda protokolli tarnib.

Kohaletoimetamine, ettevalmistamine ja aktiveerimine eraldi sammudena

Väljaandmine säilitab identiteedi, otstarbe ja väljaandmissuhte, ning uue võtmepaariga loodud asendus on kasutu, kui sobiv võti ei reisi sellega kaasas. Toimetage paar kohale kanali kaudu, mille taga on juurdepääsukontrolli kavand, sest äraarvamatu URL on varjamine, mitte kontroll.

Ettevalmistamine on koht, kus enamik automatiseerimist vaikselt katki läheb. Imporditud profiil võib seista ühes kohas, samal ajal kui administraator uuendab faili mujal, ja klient esitab jätkuvalt vana sertifikaati, kuni keegi märkab. Kirjutage üles tee, mida klient loeb, konto, millel on lubatud sinna kirjutada, ja sündmus, mis käivitab uuesti laadimise. Seejärel kinnitage, et asendus on fail, mida tegelikult kasutatakse, mitte kõrvale saabunud koopia.

Kontrollimine tähendab uut autentimist uue materjaliga ja kontrolli rakenduse üle, mida kasutaja vajab. Juba loodud tunnel võib endiselt peegeldada eelmist mandaati, seega avatud ühendus ei ole tõestus õnnestunud uuendamisest.

Kavandage esmalt vahelejäänud akna taastamine

Kui sülearvuti jõuab registreerimisteenusesse ainult VPN-i kaudu, tekitab aegumine ahela: seade vajab tunnelisse sisenemiseks sertifikaati ja tunnel sertifikaadi toomiseks. Otsustage väliskanali korraldus enne esimese ajastatud ülesande saatmist, olgu selleks eraldi autenditud registreerimispunkt või administraatori abiga uuesti registreerimine.

Ükskõik mida te valite, peab see kontrollima taotlejat ja kehtivat õigust. Serveri seadistamine võtma vastu aegunud sertifikaate kõigilt, kes küsivad, ei ole taastamise tee, vaid ülejäänud kavandiga kaitstud kontrolli püsiv nõrgestamine.

Lõpuks hoidke uuendamine ja kompromiteerimine eraldi protseduurides. Lekkinud võti vajab tühistamist ja reageerimist aktiivsetele sessioonidele ning aegumiskuupäeva pikendamine ei sisalda neist midagi. Kaasake vastuvõtutesti võrguühenduseta seade, ebaõnnestunud kohaletoimetamine ja kasutuselt kõrvaldatud vara, ja ajakava on valmis lubamiseks.