Nije VPN-oanmeldingen mislearje wylst sertifikaten jildich binne: kontrolearje de CRL

Sertifikaten mei noch moannen te gean en oanmeldingen dy’t daliks mislearje, wize op twa ferskate objekten mei twa ferskate klokken. De tsjinner wegeret ferbiningen om’t de list fan ynlutsen sertifikaten dy’t er rieplachtet syn eigen ferfaldatum foarby is, net om’t de sertifikaten fan de brûkers ferâldere binne. It fernijen fan in brûkerssertifikaat docht neat foar dy list.

It skieden fan de twa skema’s is de hiele diagnoaze, en it feroaret wat de oplossing wêze moat.

Twa klokken, en mar ien fan har is it sertifikaat

In sertifikaat draacht in jildichheidsfinster. In sertifikaatynlûkingslist draacht syn eigen finster, plus in útjouwer en in hantekening, en ferifiearders wegerje in list te fertrouwen wêrfan’t de folgjende bywurkingstiid foarby is. As dat bart, presintearret de kliïnt in folslein jildich sertifikaat en dochs smyt de tsjinner de ferbining fuort mei in berjocht oer de list. Brûkers lêze dat berjocht as 'it sertifikaat is ferfallen', wat it fernijingsfersyk op it ferkearde plak rjochtet.

De beide objekten hawwe ek ferskate eigners: it sertifikaat komt fan de CA dy’t it útjûn hat, wylst de list neffens in skema generearre wurdt troch wa’t dy CA beheart. In brûker kin dizze net fernije, en it op ’e nij útjaan fan sertifikaten kin dizze net ferlingje.

Lês de list dy’t de tsjinst eins laadt

Begjin by de rinnende konfiguraasje ynstee fan by it bestân dat jo ferwachtsje. It paad fan crl-verify kin absolút wêze, relativearre op it profyl, of in kopy dy’t yn in image bakt is, en de ferifiearder lêst dy kopy. Undersykje it op syn plak mei openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate en fergelykje de datums mei de klok fan de tsjinner.

Befêstigje dan dat it bestân echt it bestân is dat brûkt wurdt: kontrolearje de hantekening mei openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout, dat in ferifikaasjeresultaat meldt ynstee fan stil de fjilden ôf te printsjen. In list ûndertekene troch in oare CA, of in ferâldere kopy dy’t yn in twadde map efterlitten is, mislearret krekt as in ferfallen list.

Meitsje op ’e nij út de ynlûkingsdatabank, net fan ’t begjin ôf

De nije list moat út de aktuele ynlûkingsdatabank fan de CA komme, fia it goedkarde ûndertekeningsproses. It meitsjen fan in lege list, of op ’e nij meitsjen út in âlde reservekopy fan de yndeks, makket stilwei de ynlûking fan elke identiteit dy’t sûnt dy reservekopy tafoege is, ûngedien. Dat feroaret in oanmeldingsûnderbrekking yn in befeiligingsregresje, en nimmen merkt it om’t it symptoom ferdwynt.

Hâld de generaasjestap yn fersjonsbehear mei de rest fan de CA-ark, sadat it ynterval en de ûndertekeningskaai dokumintearre binne ynstee fan ûnthâlden. In runbook-regel dy’t it kommando, de ûndertekenjer en it publikaasjedoel neamt, is genôch. Dan kin elkenien yn ’e tsjinst op ’e nij meitsje sûnder te rieden hokker yndeksbestân gesachhawwend is. Bewarje it searjenûmer en de folgjende bywurkingstiid fan de list by it útrôlrecord.

Rôlje út wêr’t de ferifiearder sjocht

Kopiearje de nije list nei it paad dat de tsjinst lêst, set eigendom en modus sa dat it tsjinstakkoart it lêze kin mar oaren net, en laad op ’e nij of start op ’e nij neffens it dokumintearre gedrach. As de daemon de list by it opstarten cachet, feroaret it ferfangen fan it bestân sûnder werladen neat dat it rinnende proses fernimme sil. Befêstigje de tiidstimpel dy’t it proses nei it werladen meldt.

As ferskate tsjinsten kliïnten ferifiearje, rôlje dan by elk fan har út. Ien einpunt bywurkje en in oar mei de âlde kopy efterlitte, leveret in flater op dy’t allinnich ferskynt by de brûkers dy’t op it twadde telâne komme. Hâld in koarte list fan dy einpunten yn itselde runbook. Kontrolearje nei it útrôljen de melde listdatum fan elk einpunt ynstee fan oan te nimmen dat de kopy oankaam.

Meitsje de folgjende deadline sichtber foar’t er foarby is

In langer publikaasje-ynterval ferleget de frekwinsje fan dit ynsidint sûnder in proses te meitsjen. Kies it ynterval út it belied fan de operator, en alermearje dan op it fjild foar folgjende bywurking fan de útrôle list mei genôch foarrin om op ’e nij te meitsjen en út te rôljen. Alermearje op de útrôle kopy, net op de CA-host, want de útrôle kopy is wat mislearret.

Ferifiearje nei it útrôljen beide rjochtingen: in tastiene brûker ferbynt, en in bekende ynlutsen identiteit mislearret noch altyd. De twadde kontrôle is dy’t in ûnfolsleine opnij-generaasje fangt, en dy kostet ien kommando tsjin in testprofyl dat jo krekt hjirfoar oanhâlde.