Az új VPN-bejelentkezések érvényes tanúsítványok mellett is meghiúsulnak: ellenőrizze a CRL-t

A hónapokig érvényes tanúsítványok és az azonnal meghiúsuló bejelentkezések két különböző objektumra utalnak, két különböző órával. A kiszolgáló azért utasítja el a kapcsolatokat, mert a visszavont tanúsítványok listája, amelyet ellenőriz, túllépte a saját lejárati dátumát, nem pedig azért, mert a felhasználók tanúsítványai elavultak. Egy felhasználói tanúsítvány megújítása semmit sem tesz azért a listáért.

A két ütemezés szétválasztása maga a teljes diagnózis, és megváltoztatja azt, hogy milyennek kell lennie a javításnak.

Két óra, és csak az egyik közülük a tanúsítvány

Egy tanúsítvány érvényességi ablakot hordoz. Egy tanúsítvány-visszavonási lista a saját ablakát hordozza, valamint egy kibocsátót és egy aláírást, és az ellenőrök megtagadják a bizalmat egy olyan listában, amelynek következő frissítési ideje elmúlt. Amikor ez megtörténik, az ügyfél teljesen érvényes tanúsítványt mutat be, és a kiszolgáló mégis megszakítja a kapcsolatot a listáról szóló üzenettel. A felhasználók ezt az üzenetet úgy olvassák, hogy 'a tanúsítvány lejárt', ami rossz helyre küldi a megújítási kérelmet.

A két objektumnak különböző tulajdonosa is van: a tanúsítvány attól a CA-tól származik, amely kiadta, míg a listát ütemezés szerint az generálja, aki azt a CA-t üzemelteti. A felhasználó nem tudja frissíteni, és a tanúsítványok újrakibocsátása nem tudja meghosszabbítani.

Olvassa el a listát, amelyet a szolgáltatás ténylegesen betölt

A futó konfigurációból induljon ki, ne abból a fájlból, amelyet vár. A crl-verify útvonala lehet abszolút, a profilhoz viszonyított vagy egy image-be sütött másolat, és az ellenőr azt a másolatot olvassa. Vizsgálja meg a helyén a openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate használatával, és hasonlítsa össze a dátumokat a kiszolgáló órájával.

Ezután erősítse meg, hogy a fájl valóban az, amelyet használnak: ellenőrizze az aláírását a openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout használatával, amely ellenőrzési eredményt jelent, ahelyett hogy csendben kiírná a mezőket. Egy másik CA által aláírt lista vagy egy második könyvtárban hagyott elavult másolat pontosan úgy hiúsul meg, mint egy lejárt.

A visszavonási adatbázisból generálja újra, ne a nulláról

Az új listának a CA jelenlegi visszavonási adatbázisából kell származnia, a jóváhagyott aláírási folyamaton keresztül. Egy üres lista generálása vagy egy régi index-mentésből való újragenerálás csendben visszavonja az adott mentés óta hozzáadott minden identitás visszavonását. Ez a bejelentkezési kiesést biztonsági visszaeséssé alakítja, és senki sem veszi észre, mert a tünet eltűnik.

Tartsa a generálási lépést verziókezelés alatt a CA többi eszközével együtt, hogy az intervallum és az aláíró kulcs dokumentálva legyen, ne pedig megjegyezve. Elegendő egy runbook-bejegyzés, amely megnevezi a parancsot, az aláírót és a közzétételi célt. Ezután bárki, aki ügyeletben van, újragenerálhatja anélkül, hogy találgatná, melyik indexfájl a mérvadó. Tárolja a lista sorszámát és a következő frissítés idejét a telepítési rekorddal együtt.

Oda telepítse, ahová az ellenőr néz

Másolja az új listát arra az útvonalra, amelyet a szolgáltatás olvas, állítsa be a tulajdonjogot és a módot úgy, hogy a szolgáltatásfiók olvashassa, mások pedig ne, majd a dokumentált viselkedés szerint töltse újra vagy indítsa újra. Ha a démon indításkor gyorsítótárazza a listát, a fájl újratöltés nélküli lecserélése semmit sem változtat, amit a futó folyamat észrevenne. Erősítse meg az időbélyeget, amelyet a folyamat az újratöltés után jelent.

Ha több szolgáltatás ellenőrzi az ügyfeleket, telepítse mindegyiknél. Egy végpont frissítése és egy másik régi másolattal hagyása olyan hibát eredményez, amely csak azoknál a felhasználóknál jelenik meg, akik a másodikra jutnak. Tartson rövid listát ezekről a végpontokról ugyanabban a runbookban. A bevezetés után ellenőrizze mindegyik jelentett lista-dátumát, ahelyett hogy feltételezné, hogy a másolat megérkezett.

Tegye láthatóvá a következő határidőt, mielőtt lejár

A hosszabb közzétételi intervallum csökkenti ennek az eseménynek a gyakoriságát anélkül, hogy folyamatot teremtene. Válassza az intervallumot az üzemeltető szabályzatából, majd állítson riasztást a telepített lista következő frissítési mezőjére elegendő előfutással az újrageneráláshoz és a telepítéshez. A telepített másolatra riasszon, ne a CA gazdagépére, mert a telepített másolat az, amely meghiúsul.

A telepítés után mindkét irányt ellenőrizze: egy engedélyezett felhasználó csatlakozik, és egy ismert visszavont identitás továbbra is meghiúsul. A második ellenőrzés az, amely elkapja a hiányos újragenerálást, és egyetlen parancsot igényel egy olyan tesztprofil ellen, amelyet pontosan erre a célra tart.