Teie VPN-sertifikaat aegub täna: mis tegelikult peatub

Aegumisteade käivitub, tunnel edastab endiselt liiklust ja keegi ei ole ühel meelel, kas kuupäev on oluline. On küll, kuid mitte alati sertifikaadile trükitud hetkel. Aegunud sertifikaat peatab uued autentimised ja peatab taasvalideerimised, mida mõned teostused pikaajalise seansi sees teevad. Kas teie olemasolev tunnel sureb keskööl, sõltub protokollist, kliendist ja serveri uuesti läbirääkimise seadetest. Planeerige uuendamine enne kuupäeva ja kontrollige seda uue sisselogimisega, mitte seansiga, mis oli juba avatud.

Leidke, milline sertifikaat tegelikult aegub

Juurutis sisaldab serveri lehtsertifikaati, kliendi volitusi, ühte või mitut vahesertifikaati ja usaldusankrut, ning need ei aegu koos. Lugege veas nimetatud sertifikaati ja ahelat, millega see esitati, mitte profiilikausta esimest faili. Serveri lehtsertifikaat, mis uueneb puhtalt, võib siiski ebaõnnestuda, kui selle kohal olev vahesertifikaat on aegunud. Kirjutage enne millegi muutmist üles iga faili subjekt, väljaandja, not-after ja juurutamise asukoht.

Usaldusankur on tavaliselt pikima elueaga objekt ja kõige vähem tõenäoline põhjus.

Miks elus seanss võib kuupäevast kauem kesta

Autentimine toimub ühenduse loomisel ja mõned protokollid kontrollivad identiteeti hiljem uuesti. OpenVPN kordab andmekanali läbirääkimist taimeriga, seega aegunud sertifikaati esitav kordusläbirääkimine ebaõnnestub, ehkki tunnel on olnud üleval juba tunde. Teostused, mis ei valideeri kunagi uuesti, võivad kanda loodud seanssi üle aegumiskuupäeva, mistõttu «see töötab veel» ei ole tõestus. Kumbki käitumine ei ole asi, millega saaks arvestada.

Käsitlege kuupäeva uute sisselogimiste tähtajana ja seansi eluiga laenatud ajana.

Kontrollige kella enne sertifikaadi süüdistamist

Kehtivust hinnatakse kohaliku kella järgi, seega vale ajaga seade teatab kehtivustõrkest täiesti ajakohase sertifikaadi puhul. Kontrollige klienti, serverit ja mis tahes seadet teel.

Kell, mis alglaadimisel nullitakse, selgitab tõrkeid, mis ilmnevad alles pärast voolukatkestust.

Uuendage selle asutuse kaudu, kes selle väljastas

Säilitage identiteet, kavandatud otstarve ja ühilduv võtmekonfiguratsioon. Kui uuendamine toob uue väljaandja või kinnitatud sertifikaadi, vajavad kliendid koordineeritud usalduse uuendust, mitte serverifaili vahetust. Kaitske privaatvõtmeid väljastamise ja levitamise ajal, sest uuendatud sertifikaat ei tühista kompromiteeritud vana võtit. Parooli lähtestamine ei ole uuendamine, mida iganes pilet ütleb.

Avaldage uus ahel täielikult, sest leht ilma vahesertifikaadita on poolik uuendus, mis töötab ainult masinates, mis on selle juba vahemällu salvestanud.

Tõestage seda uue sisselogimisega, hoidke tagasipöördumist

Pärast juurutamist looge esinduslikust kliendist uus lubatud ühendus ja proovige tegelikku rakendust. Kontrollige, et ahel tarnitakse nii, nagu kliendid ootavad, ja et mis tahes tühistamisteave on kättesaadav. Hoidke tagasipöördumist, mis ei sõltu aegunud materjali usaldamisest, et saaksite naasta varasemasse olekusse kontrolli nõrgestamata. Eemaldage vananenud failid alles pärast asenduse kontrollimist.

Olemasolevad seansid võivad endiselt peegeldada varasemat olekut, seega ei tõesta need midagi kummaski suunas.

Järjekord, mida ma sellel päeval kasutan

Kinnitage aeguv objekt ja selle ahel, seejärel kinnitage kellad:

• Milline sertifikaat aegub ja millisesse ahelasse see kuulub.
• Kas iga vahesertifikaat on juurutatud ja avaldatud.
• Kliendi ja serveri kellad langevad kokku mõistliku varu piires.
• Uus sisselogimine õnnestub esinduslikust kliendist.
• Tühistamisteave on kättesaadav.
• Olemas on tagasipöördumine, mis ei nõrgesta kontrolli.

Seejärel uuendage, juurutage täielik ahel, testige uue sisselogimisega ja alles siis koristage. Kehtivusperioodid ja nende hindamise reeglid on määratletud dokumendis RFC 5280 ja kuupäev ei ole üllatus, kui teie jälgimine vaatas objekti, mis tegelikult aegub.