OpenVPN-tanúsítványok megújítása: a tanúsítványt szállítsa, ne az időzítőt

Két megújítási terv azonosnak látszik egy tervfelülvizsgálaton, és januárban teljesen másképp viselkedik. Az első időzítőt futtat, újra kiállítja a tanúsítványokat, és fájlokat dob egy megosztott mappába. A második szállítási problémaként kezeli a megújítást: ki kéri, mi bizonyítja a jogosultságot, hogyan jut el az anyag az eszközre, és mi veszi rá az ügyfelet a használatára. Csak a második éli túl az offline laptopot, a kivont eszközt és a csendben meghiúsult szállítást.

Hasonlítsa össze a két tervet ott, ahol valóban különböznek

Az időzítős terv a kiszolgáló oldalt optimalizálja. Egy ütemezett feladat meghívja a CA-t, megjelenik egy új tanúsítvány, és az üzemeltető késznek tekinti a munkát. Minden, ami a kiállítás után történik, valaki más problémája, amíg egy eszköz nem tud csatlakozni, és a lejárati dátum meg nem magyarázza, miért.

A munkafolyamat-terv az utolsó mérföldet optimalizálja. Feltételezi, hogy a kiállítás egy láncszem, és hogy minden későbbi lépés önállóan meghiúsulhat. Ez többe kerül felépíteni és sokkal kevesebbe üzemeltetni, mert a hibák nyomon követett állapotokként jelennek meg, nem lejárt ügyfelekként.

Hasznos módja a különbség szem előtt tartásának az a sorrend, amelyet minden tervnek kifejezetten meg kell neveznie.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

A tanúsítványból magából derítse fel az ablakot

Az érvényességet abból a tanúsítványból olvassa ki, amelyet az ügyfél ténylegesen bemutat, ne egy másolt fájlnévbe ágyazott dátumból. A fájlnevek elcsúsznak, és egy 2026-ot mutató fájl tartalmazhat olyan hitelesítő adatot, amely márciusban lejár.

Hagyjon tartalékot az ablakban a lassú esetekre: hetekig offline eszközök, embert igénylő jóváhagyások és olyan szállítási útvonalak, amelyek egyszer meghiúsulnak, mielőtt működnének. Egy sikert jelentő időzítő csak azt bizonyítja, hogy az időzítő futott, semmi többet.

Engedélyezze a kérést, mielőtt bármit kiállítanak

Egy meglévő tanúsítvány része lehet egy legitim megújítási mechanizmusnak, de a tárgy szövege nem engedélyezési döntés. A megválaszolandó kérdés az, hogy ez a fiók és ez az eszköz még jogosult-e identitásra a flottában, és ez a válasz az eszköznyilvántartásában él, nem a tanúsítványban.

Egy kivont laptop, amelynek ütemezett feladata még fut, nem kaphat új jogosultságot. RFC 7030 érdemes itt elolvasni, mert elválasztja a hitelesített újraregisztrációt a kiszolgálóoldali engedélyezéstől és szabályzattól; ez egy kölcsönvehető minta, nem annak állítása, hogy az OpenVPN vagy az EasyRSA szállítja ezt a protokollt.

Szállítás, előkészítés és aktiválás külön lépésekként

A kiállítás megőrzi az identitást, a célt és a kiállítási viszonyt, és az új kulcspárral létrehozott csere használhatatlan, ha a hozzá tartozó kulcs nem utazik vele. A párt olyan csatornán szállítsa, amely mögött hozzáférés-ellenőrzési terv áll, mert a kitalálhatatlan URL elrejtés, nem ellenőrzés.

Az előkészítés az a pont, ahol a legtöbb automatizálás csendben eltörik. Egy importált profil állhat az egyik helyen, miközben egy rendszergazda egy fájlt máshol frissít, és az ügyfél továbbra is a régi tanúsítványt mutatja be, amíg valaki észre nem veszi. Írja le az útvonalat, amelyet az ügyfél olvas, a fiókot, amely írhat bele, és az eseményt, amely újratöltést vált ki. Aztán erősítse meg, hogy a csere a ténylegesen használt fájl, és nem egy mellé érkezett másolat.

Az ellenőrzés friss hitelesítést jelent az új anyaggal, és a felhasználó által igényelt alkalmazás ellenőrzését. Egy már létrehozott alagút még mindig a korábbi hitelesítő adatot tükrözheti, ezért egy nyitott kapcsolat nem bizonyíték a sikeres megújításra.

Először a kihagyott ablak helyreállítását tervezze meg

Amikor egy laptop csak a VPN-en keresztül éri el a regisztrációs szolgáltatást, a lejárat hurkot hoz létre: az eszköznek tanúsítvány kell az alagútba lépéshez, az alagútnak pedig a tanúsítvány megszerzéséhez. Döntse el a sávon kívüli megoldást, mielőtt az első ütemezett feladat elindul, akár külön hitelesített regisztrációs végpont, akár rendszergazdai segítséggel történő újraregisztráció.

Bármit is választ, ellenőriznie kell a kérelmezőt és a jelenlegi jogosultságot. Ha a kiszolgálót arra állítja be, hogy bárkitől elfogadjon lejárt tanúsítványokat, az nem helyreállítási út, hanem a terv többi részével megvédett ellenőrzés tartós gyengítése.

Végül tartsa külön a megújítást és a kompromittálódást. Egy kiszivárgott kulcs visszavonást és az aktív munkamenetekre adott választ igényel, a lejárati dátum meghosszabbítása pedig ebből semmit nem tartalmaz. Vegyen fel egy offline eszközt, egy meghiúsult szállítást és egy kivont eszközt az átvételi tesztbe, és az ütemterv készen áll az engedélyezésre.