OpenVPN վկայագրերի նորացում՝ հանձնեք վկայագիրը, ոչ թե ժամաչափը

Նորացման երկու նախագիծ նույնական են թվում նախագծի վերանայման ժամանակ և հունվարին բոլորովին այլ կերպ են վարվում։ Առաջինը գործարկում է ժամաչափ, վերաթողարկում վկայագրերը և ֆայլերը գցում ընդհանուր թղթապանակ։ Երկրորդը նորացումը դիտարկում է որպես հանձնման խնդիր. ով է հարցնում, ինչն է ապացուցում իրավունքը, ինչպես է նյութը հասնում սարքին և ինչն է ստիպում հաճախորդին օգտագործել այն։ Միայն երկրորդն է դիմանում անցանց նոութբուքին, շարքից հանված ակտիվին և լուռ ձախողված հանձնմանը։

Համեմատեք երկու նախագծերը այնտեղ, որտեղ նրանք իրոք տարբերվում են

Ժամաչափով նախագիծը օպտիմալացնում է սերվերի կողմը։ Ժամանակացույցով առաջադրանքը կանչում է CA-ին, հայտնվում է նոր վկայագիր, և օպերատորը գործը համարում է ավարտված։ Ամեն ինչ, որ տեղի է ունենում թողարկումից հետո, ուրիշի խնդիրն է, մինչև սարքը չկարողանա միանալ, և վավերականության ժամկետը բացատրի պատճառը։

Աշխատահոսքի նախագիծը օպտիմալացնում է վերջին մղոնը։ Այն ենթադրում է, որ թողարկումը շղթայի մեկ օղակն է, և որ յուրաքանչյուր հաջորդ քայլ կարող է ինքնուրույն ձախողվել։ Դա ավելի թանկ է կառուցել և շատ ավելի էժան շահագործել, քանի որ խափանումները հայտնվում են որպես հետևվող վիճակներ, այլ ոչ թե ժամկետանց հաճախորդներ։

Տարբերությունը տեսադաշտում պահելու օգտակար եղանակը հաջորդականությունն է, որը յուրաքանչյուր նախագիծ պետք է բացահայտ անվանի։

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Բացահայտեք պատուհանը հենց վկայագրից

Վավերականությունը կարդացեք այն վկայագրից, որը հաճախորդն իրականում ներկայացնում է, ոչ թե պատճենված ֆայլի անվան մեջ ներկառուցված ամսաթվից։ Ֆայլերի անունները շեղվում են, և 2026 գրող ֆայլը կարող է պարունակել մարտին լրանացող նույնականացման տվյալ։

Պատուհանում թողեք լուսանցք դանդաղ դեպքերի համար. սարքեր, որոնք շաբաթներով անցանց են, հաստատումներ, որոնց մարդ է պետք, և հանձնման ուղիներ, որոնք մեկ անգամ ձախողվում են աշխատելուց առաջ։ Հաջողություն հաղորդող ժամաչափը ապացուցում է միայն, որ ժամաչափը աշխատել է, ոչ ավելին։

Լիազորեք հարցումը, նախքան ինչ-որ բան կթողարկվի

Գոյություն ունեցող վկայագիրը կարող է լինել օրինական նորացման մեխանիզմի մաս, բայց նրա սուբյեկտի տեքստը լիազորման որոշում չէ։ Հարցը, որին պետք է պատասխանել, այն է՝ արդյոք այս հաշիվը և այս սարքը դեռ իրավունք ունեն ինքնության նավատորմում, և այդ պատասխանը ապրում է ձեր ակտիվների գրառումներում, ոչ թե վկայագրում։

Շարքից հանված նոութբուքը, որի ժամանակացույցով առաջադրանքը դեռ աշխատում է, չպետք է նոր իրավունք ստանա։ RFC 7030 արժե կարդալ այստեղ, քանի որ այն առանձնացնում է նույնականացված վերագրանցումը սերվերի կողմի լիազորումից և քաղաքականությունից. դա փոխառելու մոդել է, ոչ թե պնդում, որ OpenVPN-ը կամ EasyRSA-ն մատակարարում են այդ արձանագրությունը։

Հանձնում, նախապատրաստում և ակտիվացում որպես առանձին քայլեր

Թողարկումը պահպանում է ինքնությունը, նպատակը և թողարկման հարաբերությունը, և նոր բանալու զույգով ստեղծված փոխարինողն անօգուտ է, եթե համապատասխան բանալին չի ճամփորդում նրա հետ։ Զույգը հանձնեք ալիքով, որի հետևում մուտքի վերահսկման նախագիծ կա, որովհետև անգուշանելի URL-ը թաքցնել է, ոչ թե վերահսկում։

Նախապատրաստումն այն տեղն է, որտեղ ավտոմատացման մեծ մասը լուռ կոտրվում է։ Ներմուծված պրոֆիլը կարող է մնալ մի տեղում, մինչ ադմինիստրատորը ֆայլը թարմացնում է այլ տեղ, և հաճախորդը շարունակում է ներկայացնել հին վկայագիրը, մինչև ինչ-որ մեկը նկատի։ Գրի առեք այն ուղին, որը հաճախորդը կարդում է, այն հաշիվը, որին թույլատրվում է գրել դրա մեջ, և այն իրադարձությունը, որը հրահրում է վերաբեռնում։ Այնուհետև հաստատեք, որ փոխարինողը հենց օգտագործվող ֆայլն է, այլ ոչ թե կողքին հասած պատճեն։

Ստուգումը նշանակում է նոր նյութով թարմ նույնականացում և օգտատիրոջը անհրաժեշտ հավելվածի ստուգում։ Արդեն հաստատված թունելը կարող է դեռ արտացոլել նախորդ նույնականացման տվյալը, ուստի բաց կապը հաջող նորացման ապացույց չէ։

Նախ նախագծեք բաց թողնված պատուհանի վերականգնումը

Երբ նոութբուքը գրանցման ծառայությանը հասնում է միայն VPN-ի միջոցով, ժամկետի լրանալը ստեղծում է օղակ. սարքին վկայագիր է պետք թունել մտնելու համար, իսկ թունելին՝ վկայագիրը բերելու համար։ Որոշեք ժապավենից դուրս կարգավորումը, նախքան առաջին ժամանակացույցով առաջադրանքը մեկնարկի, լինի դա առանձին նույնականացված գրանցման վերջնակետ, թե ադմինիստրատորի աջակցությամբ վերագրանցում։

Ինչ էլ ընտրեք, այն պետք է ստուգի հարցնողին և ընթացիկ իրավունքը։ Սերվերը կարգավորելը՝ ընդունելու ժամկետանց վկայագրեր ցանկացածից, ով հարցնում է, վերականգնման ուղի չէ, դա ձեր նախագծի մնացած մասով պաշտպանած ստուգման մշտական թուլացում է։

Վերջապես, նորացումը և վտանգումը պահեք առանձին ընթացակարգերում։ Արտահոսած բանալին պահանջում է չեղարկում և արձագանք ակտիվ սեսիաներին, իսկ ժամկետի երկարաձգումը դրանցից ոչինչ չի պարունակում։ Ընդունման փորձարկումում ներառեք անցանց սարք, ձախողված հանձնում և շարքից հանված ակտիվ, և ժամանակացույցը պատրաստ է միացմանը։