گواهی VPN شما امروز منقضی می‌شود: چه چیزی واقعاً متوقف می‌شود
گواهی منقضی‌شده احراز هویت‌های جدید و اعتبارسنجی‌های مجدد را متوقف می‌کند، نه همیشه بسته‌هایی را که از قبل جریان دارند. شیء را پیدا کنید، ساعت‌ها را بررسی کنید، سپس تمدید کنید.
هشدار انقضا فعال می‌شود، تونل هنوز ترافیک عبور می‌دهد و هیچ‌کس توافق ندارد که آیا تاریخ اهمیت دارد. اهمیت دارد، اما نه همیشه در همان لحظه‌ای که روی گواهی چاپ شده است. گواهی منقضی‌شده احراز هویت‌های جدید را متوقف می‌کند و اعتبارسنجی‌های مجددی را که برخی پیاده‌سازی‌ها درون یک نشست طولانی انجام می‌دهند نیز متوقف می‌کند. اینکه تونل موجود شما در نیمه‌شب بمیرد به پروتکل، کلاینت و تنظیمات مذاکره مجدد سرور بستگی دارد. تمدید را پیش از تاریخ برنامه‌ریزی کنید و آن را با یک ورود تازه تأیید کنید، نه با نشستی که از قبل باز بود.
پیدا کنید کدام گواهی واقعاً منقضی می‌شود
یک استقرار شامل گواهی برگ سرور، اعتبارنامه‌های کلاینت، یک یا چند گواهی میانی و یک لنگر اعتماد است و این‌ها با هم منقضی نمی‌شوند. گواهی نام‌برده در خطا و زنجیره‌ای را که با آن ارائه شد بخوانید، نه نخستین فایل در پوشه پروفایل. گواهی برگ سروری که به‌درستی تمدید می‌شود باز هم می‌تواند شکست بخورد اگر گواهی میانی بالای آن منقضی شده باشد. پیش از تغییر هر چیزی، موضوع، صادرکننده، not-after و محل استقرار هر فایل را بنویسید.
لنگر اعتماد معمولاً دیرزیست‌ترین شیء و کم‌احتمال‌ترین علت است.
چرا یک نشست فعال می‌تواند از تاریخ فراتر برود
احراز هویت هنگام برقراری اتصال رخ می‌دهد و برخی پروتکل‌ها بعداً دوباره هویت را بررسی می‌کنند. OpenVPN کانال داده را با یک تایمر دوباره مذاکره می‌کند، بنابراین مذاکره مجددی که گواهی منقضی ارائه می‌کند شکست می‌خورد حتی اگر تونل ساعت‌ها برپا بوده باشد. پیاده‌سازی‌هایی که هرگز اعتبارسنجی مجدد نمی‌کنند می‌توانند یک نشست برقرارشده را از تاریخ انقضا بگذرانند، و همین دلیل است که «هنوز کار می‌کند» شاهد نیست. هیچ‌یک از این دو رفتار چیزی نیست که بتوان روی آن برنامه‌ریزی کرد.
تاریخ را مهلت ورودهای جدید و عمر نشست را وقت قرض‌گرفته‌شده بدانید.
پیش از سرزنش گواهی، ساعت را بررسی کنید
اعتبار در برابر ساعت محلی سنجیده می‌شود، بنابراین دستگاهی با زمان نادرست برای گواهی کاملاً به‌روز، شکست اعتبار گزارش می‌کند. کلاینت، سرور و هر وسیله‌ای را در مسیر بررسی کنید.
ساعتی که هنگام بوت بازنشانی می‌شود، شکست‌هایی را توضیح می‌دهد که فقط پس از قطع برق ظاهر می‌شوند.
از طریق مرجعی که آن را صادر کرده تمدید کنید
هویت، هدف موردنظر و پیکربندی کلید سازگار را حفظ کنید. اگر تمدید صادرکننده جدید یا گواهی سنجاق‌شده وارد کند، کلاینت‌ها به به‌روزرسانی اعتماد هماهنگ نیاز دارند، نه جابه‌جایی فایل سرور. کلیدهای خصوصی را هنگام صدور و توزیع محافظت کنید، زیرا گواهی تمدیدشده کلید قدیمی به‌خطرافتاده را باطل نمی‌کند. بازنشانی گذرواژه تمدید نیست، هرچه تیکت بگوید.
زنجیره جدید را کامل منتشر کنید، زیرا برگ بدون گواهی میانی‌اش نیمی از تمدید است که فقط روی ماشین‌هایی کار می‌کند که از قبل آن را در حافظه پنهان دارند.
با ورود تازه اثباتش کنید، امکان بازگشت را نگه دارید
پس از استقرار، از یک کلاینت نماینده اتصال مجاز تازه‌ای برقرار کنید و برنامه واقعی را بیازمایید. بررسی کنید که زنجیره همان‌گونه که کلاینت‌ها انتظار دارند تحویل می‌شود و هرگونه اطلاعات ابطال در دسترس است. بازگشتی نگه دارید که به اعتماد به مواد منقضی وابسته نباشد، تا بتوانید بدون تضعیف راستی‌آزمایی به وضعیت پیشین برگردید. فایل‌های قدیمی را فقط پس از تأیید جایگزین حذف کنید.
نشست‌های موجود ممکن است هنوز وضعیت پیشین را بازتاب دهند، بنابراین به هیچ سمتی چیزی اثبات نمی‌کنند.
ترتیبی که در آن روز به کار می‌برم
شیء در حال انقضا و زنجیره‌اش را تأیید کنید، سپس ساعت‌ها را تأیید کنید:
- کدام گواهی منقضی می‌شود و به کدام زنجیره تعلق دارد.
- آیا هر گواهی میانی مستقر و منتشر شده است.
- ساعت‌های کلاینت و سرور در حاشیه معقولی منطبق‌اند.
- ورود تازه از یک کلاینت نماینده موفق می‌شود.
- اطلاعات ابطال در دسترس است.
- بازگشتی وجود دارد که راستی‌آزمایی را تضعیف نمی‌کند.
سپس تمدید کنید، زنجیره کامل را مستقر کنید، با ورود تازه آزمون کنید و تنها بعد از آن پاک‌سازی کنید. دوره‌های اعتبار و قواعد ارزیابی آن‌ها در RFC 5280 تعریف شده‌اند و اگر پایش شما شیئی را که واقعاً منقضی می‌شود زیر نظر داشته باشد، تاریخ غافلگیرکننده نیست.