OpenVPN-varmenteiden uusiminen: toimita varmenne, älä ajastin

Kaksi uusimissuunnitelmaa näyttävät samoilta suunnittelukatsauksessa ja käyttäytyvät tammikuussa täysin eri tavoin. Ensimmäinen ajaa ajastinta, myöntää varmenteet uudelleen ja pudottaa tiedostot jaettuun kansioon. Toinen käsittelee uusimista toimitusongelmana: kuka pyytää, mikä todistaa kelpoisuuden, miten materiaali päätyy laitteelle ja mikä saa asiakkaan käyttämään sitä. Vain toinen kestää offline-kannettavan, käytöstä poistetun omaisuuserän ja toimituksen, joka epäonnistui hiljaa.

Vertaa kahta suunnitelmaa siinä, missä ne todella eroavat

Ajastinsuunnitelma optimoi palvelinpuolen. Ajastettu tehtävä kutsuu CA:n, uusi varmenne ilmestyy ja operaattori pitää työn valmiina. Kaikki myöntämisen jälkeen tapahtuva on jonkun muun ongelma, kunnes laite ei saa yhteyttä ja voimassaolon päättymispäivä selittää miksi.

Työnkulun suunnitelma optimoi viimeisen mailin. Se olettaa, että myöntäminen on yksi ketjun lenkki ja että jokainen myöhempi vaihe voi epäonnistua itsenäisesti. Se maksaa enemmän rakentaa ja paljon vähemmän ylläpitää, koska viat näkyvät seurattuina tiloina eivätkä vanhentuneina asiakkaina.

Hyödyllinen tapa pitää ero näkyvissä on järjestys, joka jokaisen suunnitelman on nimettävä eksplisiittisesti.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Tunnista ikkuna varmenteesta itsestään

Lue voimassaolo varmenteesta, jonka asiakas todella esittää, älä kopioidun tiedostonimen sisältämästä päivämäärästä. Tiedostonimet liikkuvat, ja tiedosto, jossa lukee 2026, voi sisältää tunnisteen, joka vanhenee maaliskuussa.

Jätä ikkunaan varaa hitaille tapauksille: laitteille, jotka ovat viikkoja offline, hyväksynnöille, jotka vaativat ihmisen, ja toimituspoluille, jotka epäonnistuvat kerran ennen toimimistaan. Ajastin, joka raportoi onnistumisesta, todistaa vain sen, että ajastin kävi, ei muuta.

Valtuuta pyyntö ennen kuin mitään myönnetään

Olemassa oleva varmenne voi olla osa laillista uusimismekanismia, mutta sen subjektiteksti ei ole valtuutuspäätös. Vastattava kysymys on, ovatko tämä tili ja tämä laite yhä oikeutettuja identiteettiin laivueessa, ja se vastaus elää omaisuusrekistereissäsi, ei varmenteessa.

Käytöstä poistettu kannettava, jonka ajastettu tehtävä yhä toimii, ei saisi saada uutta oikeutta. RFC 7030 kannattaa lukea tässä, koska se erottaa todennetun uudelleenrekisteröinnin palvelinpuolen valtuutuksesta ja käytännöstä; se on malli lainattavaksi, ei väite, että OpenVPN tai EasyRSA toimittaa tuon protokollan.

Toimitus, valmistelu ja aktivointi erillisinä vaiheina

Myöntäminen säilyttää identiteetin, käyttötarkoituksen ja myöntösuhteen, ja uudella avainparilla luotu korvaaja on hyödytön, ellei vastaava avain matkusta sen mukana. Toimita pari kanavaa pitkin, jonka takana on käyttöoikeuksien hallinnan suunnitelma, koska arvaamaton URL on peittelyä eikä hallintaa.

Valmistelu on paikka, jossa suurin osa automaatiosta hajoaa hiljaa. Tuotu profiili voi olla yhdessä paikassa, kun ylläpitäjä päivittää tiedostoa toisaalla, ja asiakas esittää yhä vanhaa varmennetta, kunnes joku huomaa sen. Kirjoita ylös polku, jonka asiakas lukee, tili, joka saa kirjoittaa siihen, ja tapahtuma, joka laukaisee uudelleenlatauksen. Vahvista sitten, että korvaaja on tiedosto, jota todella käytetään, eikä kopio, joka saapui sen viereen.

Vahvistaminen tarkoittaa tuoretta todennusta uudella materiaalilla ja tarkistusta sovelluksesta, jota käyttäjä tarvitsee. Jo muodostettu tunneli voi yhä heijastaa edellistä tunnistetta, joten avoin yhteys ei ole todiste onnistuneesta uusimisesta.

Suunnittele ensin ohitetun ikkunan palautuminen

Kun kannettava tavoittaa rekisteröintipalvelun vain VPN:n kautta, vanheneminen luo silmukan: laite tarvitsee varmenteen päästäkseen tunneliin ja tunneli noutaakseen varmenteen. Päätä järjestely varsinaisen kanavan ulkopuolella ennen kuin ensimmäinen ajastettu tehtävä lähtee, olipa se erikseen todennettu rekisteröintipäätepiste tai ylläpitäjän avustama uudelleenrekisteröinti.

Valitsitpa mitä tahansa, sen on vahvistettava pyytäjä ja nykyinen oikeus. Palvelimen määrittäminen hyväksymään vanhentuneita varmenteita keneltä tahansa, joka pyytää, ei ole palautumispolku, vaan pysyvä heikennys tarkistukselle, jota puolustit suunnitelman muulla osalla.

Lopuksi pidä uusiminen ja vaarantuminen erillisissä menettelyissä. Vuotanut avain vaatii mitätöinnin ja vasteen aktiivisille istunnoille, eikä voimassaolon päivämäärän pidentäminen sisällä mitään siitä. Sisällytä hyväksymistestiin offline-laite, epäonnistunut toimitus ja käytöstä poistettu omaisuuserä, ja aikataulu on valmis otettavaksi käyttöön.