Jo VPN-sertifikaat ferrint hjoed: wat eins ophâldt

De ferrindatum-alarm giet ôf, de tunnel ferfiert noch ferkear, en nimmen is it iens oft de datum fan belang is. It is fan belang, mar net altyd op it momint dat op it sertifikaat printe is. In ferrinnend sertifikaat stopet nije autentikaasjes, en it stopet de werfalisaasjes dy’t guon ymplemintaasjes binnen in langduorjende sesje dogge. Oft jo besteande tunnel om middernacht stjert, hinget ôf fan it protokol, de klient en de werûnderhannelingsynstellingen fan de server. Plan de fernijing foar de datum en ferifiearje dy mei in nije oanmelding ynstee fan mei de sesje dy’t al iepen wie.

Fyn hokker sertifikaat eins ferrint

In útrulling befettet in server-blêd, kliïntbeynskippen, ien of mear tuskenlizzende sertifikaten en in fertrouwensanker, en se ferrinne net tagelyk. Lês it sertifikaat dat yn de flater neamd wurdt en de keatling wêrmei’t it oanbean is, net it earste bestân yn de profylmap. In server-blêd dat skjin fernijt, kin dochs mislearje as it tuskenlizzende sertifikaat derboppe ferrûn is. Skriuw it ûnderwerp, de útjouwer, de not-after en de útrullingslokaasje fan elk bestân op foardat jo eat feroarje.

It fertrouwensanker is meastentiids it langstlibbene objekt en de minst wierskynlike oarsaak.

Wêrom’t in libbene sesje de datum oerlibje kin

Autentikaasje bart by it opsetten fan de ferbining, en guon protokollen kontrolearje de identiteit letter op ‘e nij. OpenVPN ûnderhannelt it datakanaal op ‘e nij op in timer, dat in werûnderhanneling dy’t in ferrûn sertifikaat oanbiedt mislearret, sels as de tunnel al oeren oan stiet. Ymplemintaasjes dy’t nea werferifiearje kinne in fêstige sesje foarby de ferrindatum drage, en dêrom is «it wurket noch» gjin bewiis. Gjin fan beide gedragingen is eat dêr’t jo op planne kinne.

Behannelje de datum as de deadline foar nije oanmeldingen, en de libbensdoer fan de sesje as liend tiid.

Kontrolearje de klok foardat jo it sertifikaat de skuld jouwe

Jildigens wurdt tsjin de lokale klok beoardiele, dat in apparaat mei ferkearde tiid in jildigensflater meldt foar in sertifikaat dat folslein aktueel is. Kontrolearje de klient, de server en elk apparaat op it paad.

In klok dy’t by it opstarten weromset, ferklearret flaters dy’t pas nei in stroomûnderbrekking ferskine.

Fernij fia de autoriteit dy’t it útjûn hat

Behâld de identiteit, it bedoelde doel en in kompatibele kaai-konfiguraasje. As de fernijing in nije útjouwer of in fêstset sertifikaat yntrodusearret, hawwe kliïnten in koördinearre fertrouwensfernijing nedich ynstee fan in bestânsferwikseling op de server. Beskermje privee kaaien by útjefte en distribúsje, want in fernijde sertifikaat iket in kompromittearre âlde kaai net. In wachtwurdweromset is gjin fernijing, wat it kaartsje ek seit.

Publisearje de nije keatling folslein, want in blêd sûnder syn tuskenlizzende is in heal fernijing dy’t allinnich wurket op masines dy’t it al yn it cache hawwe.

Bewiis it mei in nije oanmelding, hâld in weromset

Nei de útrulling, meitsje in nije tastiene ferbining fan in fertsjintwurdigjende klient en beoefenje de eigentlike tapassing. Kontrolearje dat de keatling levere wurdt sa’t kliïnten ferwachtsje en dat alle ynlûkingsynformaasje berikber is. Hâld in weromset dy’t net fan fertrouwen op ferrûn materiaal ôfhinklik is, sadat jo sûnder ferifikaasje te ferswakjen werom kinne nei de foarige steat. Ferwiderje de ferâldere bestannen pas neidat de ferfanging ferifiearre is.

Besteande sesjes kinne noch eardere steat werjaan, dat se bewiise neat yn hokker rjochting dan ek.

De folchoarder dy’t ik op ‘e dei brûk

Befêstigje it ferrinnende objekt en syn keatling, befêstigje dan de klokken:

• Hokker sertifikaat ferrint, en by hokker keatling’t it heart.
• Oft elk tuskenlizzend sertifikaat útrulle en publisearre is.
• De klokken fan klient en server komme binnen in ridlike marzje oerien.
• In nije oanmelding slagget fan in fertsjintwurdigjende klient.
• Ynlûkingsynformaasje is berikber.
• Der bestiet in weromset dy’t de ferifikaasje net ferswakket.

Fernij dan, rûl de folsleine keatling út, test mei in nije oanmelding en romje pas dêrnei op. Jildigensperioaden en de regels om se te beoardieljen binne definiearre yn RFC 5280, en de datum is gjin ferrassing as jo monitoring it objekt folge hat dat eins ferrint.