O teu certificado VPN caduca hoxe: que se detén en realidade

A alerta de caducidade dispara, o túnel segue pasando tráfico e ninguén se pon de acordo sobre se a data importa. Importa, pero non sempre no instante impreso no certificado. Un certificado caducado detén as autenticacións novas e detén as revalidacións que algunhas implementacións realizan dentro dunha sesión de longa duración. Se o teu túnel existente morre a medianoite depende do protocolo, do cliente e da configuración de renegociación do servidor. Planifica a renovación antes da data e verifícaa cun inicio de sesión novo en lugar de coa sesión que xa estaba aberta.

Averigua que certificado caduca en realidade

Un despregamento contén un certificado folla de servidor, credenciais de cliente, un ou varios intermedios e unha áncora de confianza, e non caducan xuntos. Le o certificado nomeado no erro e a cadea coa que se presentou, non o primeiro ficheiro do directorio do perfil. Unha folla de servidor que se renova limpiamente pode fallar igualmente se o intermedio por riba caducou. Anota o suxeito, o emisor, o not-after e a localización de despregamento de cada ficheiro antes de cambiar nada.

A áncora de confianza adoita ser o obxecto máis lonxevo e a causa menos probable.

Por que unha sesión viva pode sobrevivir á data

A autenticación ocorre ao establecer a conexión, e algúns protocolos volven comprobar a identidade máis tarde. OpenVPN renegocia a canle de datos cun temporizador, así que unha renegociación que presenta un certificado caducado falla aínda que o túnel leva horas activo. As implementacións que nunca revalidan poden manter unha sesión establecida máis aló da data de caducidade, e por iso «segue funcionando» non é unha proba. Ningún dos dous comportamentos é algo co que se poida planificar.

Trata a data como o prazo para os inicios de sesión novos e a vida da sesión como tempo prestado.

Comproba o reloxo antes de culpar o certificado

A validez avalíase contra o reloxo local, así que un dispositivo coa hora incorrecta informa dun fallo de validez para un certificado perfectamente actual. Comproba o cliente, o servidor e calquera aparello na ruta.

Un reloxo que se reinicia ao arrincar explica os fallos que só aparecen tras un corte de corrente.

Renova a través da autoridade que o emitiu

Conserva a identidade, o propósito previsto e unha configuración de chave compatible. Se a renovación introduce un emisor novo ou un certificado fixado, os clientes necesitan unha actualización de confianza coordinada en lugar dun cambio de ficheiro no servidor. Protexe as chaves privadas durante a emisión e a distribución, porque un certificado renovado non revoga unha chave antiga comprometida. Restablecer o contrasinal non é renovar, diga o que diga o tícket.

Publica a cadea nova por completo, xa que unha folla sen o seu intermedio é media renovación que só funciona en máquinas que xa a tiñan na caché.

Demostra con un inicio de sesión novo, mantén unha reversión

Tras o despregamento, establece unha conexión permitida nova desde un cliente representativo e proba a aplicación real. Comproba que a cadea se entrega como os clientes esperan e que calquera información de revocación é accesible. Mantén unha reversión que non dependa de confiar en material caducado, para poder volver ao estado anterior sen debilitar a verificación. Elimina os ficheiros obsoletos só despois de verificar o substituto.

As sesións existentes poden reflectir aínda un estado anterior, así que non proban nada en ningún sentido.

A orde que uso o día

Confirma o obxecto que caduca e a súa cadea, logo confirma os reloxos:

• Que certificado caduca e a que cadea pertence.
• Se cada intermedio está despregado e publicado.
• Os reloxos do cliente e do servidor coinciden dentro dunha marxe razoable.
• Un inicio de sesión novo ten éxito desde un cliente representativo.
• A información de revocación é accesible.
• Existe unha reversión que non debilita a verificación.

Despois renova, despregue a cadea completa, proba cun inicio de sesión novo e só despois limpa. Os períodos de validez e as regras para avalialos defínense en RFC 5280, e a data non é unha sorpresa se a túa monitorización vixiaba o obxecto que realmente caduca.