VPN saio-sarrera berriek huts egiten dute ziurtagiriak baliozkoak direnean: egiaztatu CRL

Hilabete batzuk geratzen zaizkien ziurtagiriek eta berehala huts egiten duten saio-sarrerek bi objektu desberdin adierazten dituzte, bi erloju desberdinekin. Zerbitzariak konexioak ukatzen ditu kontsultatzen duen ziurtagiri errebokatuen zerrenda bere iraungitze-data gainditu duelako, ez erabiltzaileen ziurtagiriak zahartu direlako. Erabiltzaile-ziurtagiri bat berritzeak ez du ezer egiten zerrenda horretarako.

Bi egutegiak bereiztea da diagnostiko osoa, eta aldatu egiten du konponketak nolakoa izan behar duen.

Bi erloju, eta horietako bat bakarrik da ziurtagiria

Ziurtagiri batek baliozkotasun-leiho bat dakar. Ziurtagiriak errebokatzearen zerrendak bere leihoa dakar, igorle eta sinadura batekin batera, eta egiaztatzaileek uko egiten diete hurrengo eguneratze-ordua pasa duen zerrendari fidatzeari. Hori gertatzen denean, bezeroak erabat baliozkoa den ziurtagiri bat aurkezten du eta zerbitzariak konexioa mozten du oraindik zerrendari buruzko mezu batekin. Erabiltzaileek mezu hori 'ziurtagiria iraungi da' gisa irakurtzen dute, eta horrek berritze-eskaera leku okerrean uzten du.

Bi objektuek jabe desberdinak ere badituzte: ziurtagiria eman zuen CA-tik dator, eta zerrenda CA hori kudeatzen duenak sortzen du egutegi baten arabera. Erabiltzaileak ezin du freskatu, eta ziurtagiriak berriro igortzeak ezin du luzatu.

Irakurri zerbitzuak benetan kargatzen duen zerrenda

Hasi exekutatzen ari den konfiguraziotik, ez espero duzun fitxategitik. crl-verify-ren bidea absolutua, profilarekiko erlatiboa edo irudi batean txertatutako kopia izan daiteke, eta egiaztatzaileak kopia hori irakurtzen du. Ikuskatu tokian bertan openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate erabiliz eta alderatu datak zerbitzariaren erlojuarekin.

Ondoren egiaztatu fitxategia benetan erabiltzen dena dela: egiaztatu bere sinadura openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout erabiliz, eta horrek egiaztapen-emaitza jakinarazten du, eremuak isilpean inprimatzearen ordez. Beste CA batek sinatutako zerrenda batek, edo bigarren direktorio batean utzitako kopia zaharkitu batek, huts egiten du iraungitako batek bezalaxe.

Sortu berriro errebokazio-datu-basetik, ez hutsetik

Zerrenda berriak CAren uneko errebokazio-datu-basetik etorri behar du, sinadura-prozesu onartuaren bidez. Zerrenda huts bat sortzeak, edo indizearen babeskopia zahar batetik berriro sortzeak, isilpean deuseztatzen du babeskopia horretatik gehitu den identitate bakoitzaren errebokazioa. Horrek saio-hasierako etena segurtasun-atzera-egite bihurtzen du, eta inork ez du nabaritzen sintoma desagertzen delako.

Eduki sorkuntza-urratsa bertsio-kontrolpean CAko gainerako tresnekin, tarteak eta sinadura-gakoak dokumentatuta egon daitezen, gogoratzen ez diren bitartean. Runbook-sarrera batek komandoa, sinatzailea eta argitalpen-helburua izendatzea nahikoa da. Orduan, guardiako edonork berriro sor dezake zein indize-fitxategi den autoritatea asmatu beharrik gabe. Gorde zerrendaren serie-zenbakia eta hurrengo eguneratze-ordua hedapen-erregistroarekin batera.

Hedatu egiaztatzaileak begiratzen duen tokian

Kopiatu zerrenda berria zerbitzuak irakurtzen duen bidera, ezarri jabetza eta modua zerbitzu-kontuak irakurri ahal izan dezan baina besteek ez, eta kargatu edo berrabiarazi dokumentatutako portaeraren arabera. Zerrenda abioan cachean gordetzen badu, fitxategia berriz kargatu gabe aldatzeak ez du ezer aldatzen martxan dagoen prozesuak nabarituko lukeenik. Berretsi prozesuak berriz kargatu ondoren jakinarazten duen denbora-zigilua.

Hainbat zerbitzuk bezeroak egiaztatzen badituzte, hedatu bakoitzean. Muturreko puntu bat eguneratzeak eta bestea kopia zaharrarekin uzteak huts egite bat sortzen du, bigarrenean lehorreratzen diren erabiltzaileengan bakarrik agertzen dena. Egon muturreko puntu horien zerrenda laburra runbook berean. Hedapenaren ondoren, egiaztatu bakoitzak jakinarazitako zerrenda-data, kopia iritsi dela suposatu beharrean.

Egin hurrengo epea ikusgai, iraungi aurretik

Argitalpen-tarte luzeago batek gertakari honen maiztasuna jaisten du, prozesu bat sortu gabe. Aukeratu tartea operadorearen politikaren arabera, eta, ondoren, jarri alerta hedatutako zerrendaren hurrengo eguneratze-eremuan, berriro sortzeko eta hedatzeko behar adina aurrerapenekin. Jarri alerta hedatutako kopian, ez CAren ostalarian, hedatutako kopia baita huts egiten duena.

Hedapenaren ondoren, egiaztatu bi noranzkoak: baimendutako erabiltzaile bat konektatzen da, eta ezaguna den errebokatutako identitate bat oraindik huts egiten du. Bigarren egiaztapenak harrapatzen du berriz sortze osatugabea, eta komando bakarra behar du zehazki horretarako mantentzen duzun proba-profil baten aurka.