Berritutako VPN ziurtagiria: bezero batzuek oraindik ukatzen dute

Parkearen erdiak berriro konektatzen du berritzearen ondoren eta hiru gailuk uko egiten dute, bakoitzak atebidearen identitateari buruzko abisu batekin. Berritzea bera errutina da. Hiru gailu horiek dutena objektu zaharreko pin bat da, eta pin bat ez da CA zerrenda, ez izen-egiaztapen, ez konfiantza-biltegiko sarrera. Alderatu hiru mekanismoak edozein bezero ukitzen hasi aurretik.

Berritze bat, bi portaera

Berriro konektatzen duten bezeroek oraindik pasatzen duen konfiantza-erabakia dute, eta ukatzen dutenek ziurtagiri berriak betetzen ez duen baldintza bat dute. Aldea informazioa da, ez zaratak. Irakurri huts egiten duen bezeroaren mezua zehaztasunez. Izen-desadostasuna, igorle ezezaguna eta hatz-marka aldatua hiru epai desberdin dira, eta azkenak soilik seinalatzen du pin bat.

Egiaztatu ere huts egiten duen bezeroak zein profil aukeratu zuen. Bere biltegian bizi den kopiak inportatuak ez du aldatzen administratzaileak jatorrizko fitxategia beste nonbait editatzen duenean.

Berritzeak objektua ordezten du, ez soilik data

Hatz-marka batek ziurtagiriaren eduki kodetua identifikatzen du. Berritzeak ziurtagiri berria sortzen du, beraz hatz-marka aldatzen da subjektuaren izena eta gako publikoa berdin jarraitzen dutenean ere. Hori espero da eta kaltegabea da CA bat konfiantzaz eta izena egiaztatzen duten bezeroentzat. Fatala da ziurtagiri bat zehazki onartzeko konfiguratutako bezero batentzat, eta fatala da konfiantza-biltegiak igorle berria inoiz jaso ez zuen bezero batentzat ere.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Bigarren lerroak beste galdera bati erantzuten dio: gako-pareak bizirik iraun ote zuen. Gakoa berrerabili zuen berritzeak balio hori mantentzen du eta ziurtagiria soilik aldatzen du, hau da, administratzaileak ezer aldatu ez dela suposatzeko tentazioa duen kasua. Begiratu inplementatuta dagoen ziurtagiria, ez konpilazio-ostatuko hura. Biltegi bateko fitxategia alderatzeak frogatzen du zer sortu zen, ez zer aurkezten duen entzule batek oraintxe.

Irakurri bezeroak zer pinatzen duen

Bezero batzuek hatz-marka bat gordetzen dute beren profilean eta konexio bakoitzean alderatzen dute. Beste batzuek plataformako konfiantza-biltegian gordetzen dute, eta beste batzuek CA bat bakarrik erabiltzen dute. Konponketa kasu bakoitzean desberdina da, beraz identifikatu lehenengo mekanismoa.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Lehen komandoak pin bat erakusten du profil konbentzional batean; bigarrenak endpointak oraintxe benetan zerbitzatzen duen hatz-marka erakusten du. Biak desberdinak direnean, hutsegitea kokatu duzu asmatu gabe. Ez itsatsi balio berria kexatzen den bezero bakoitzean. Igorlearengatik ukatzen duen bezero batek ukatzen jarraituko du, eta zeure buruari irakatsi diozu hatz-marka zela arazoa, ez zenean.

Alderatu backend bakoitzak zerbitzatzen duen ziurtagiria

Aldizkako emaitzek normalean endpoint bat baino gehiago esan nahi dute, eta nodo batean aplikatutako berritzeak besteek objektu zaharra aurkeztea uzten du. Alderatu backend bakoitza helbidearen arabera, izen partekatuaren arabera baino.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Nodo bat atzean geratzen den multzoak bigarren saiakeran konektatzen eta lehenengoan huts egiten duen bezeroa azaltzen du. Erabiltzaileak kexatzen diren bitartean pasatzen duen monitorizazio-egiaztapena ere azaltzen du. Konpondu atzerapena lehenengo. Konfiantza-konfigurazioa nodo bakoitzak ziurtagiri berria zerbitzatu aurretik zabaltzeak ezer funtzionatzen ez duen leiho bat sortzen du, eta geroago zabaltzeak bezeroak aurreikusi ezinean huts egiten uzten ditu.

Aldatu konfiantza kudeatutako bidetik

Egiaztatu ordezkapena jada fidagarria den administrazio-kanal baten bidez edonon onartu aurretik. Baliozkoa dirudien iraungitze-data ez da jabetzaren froga. Eguneratu kudeatutako konfigurazioa hura duen prozesuaren bidez, identitate onargarrien aurreikusitako gainjartzearekin, eta mantendu inplementazioak eskatzen duen izen-egiaztapena. Izen-egiaztapenik gabeko pin bat ordeztu zuen CA konfiantza baino diseinu ahulagoa da.

Gero egiaztatu bezero bakoitzeko: konektatu, onartu zuen identitatea berretsi eta orain fidatzen duen ziurtagiri-bertsioa idatzi. Behin baztertutako abisu batek hurrengo berritzean itzultzeko ohitura du.