Նոր VPN մուտքերը ձախողվում են, մինչ վկայագրերը վավեր են. ստուգեք CRL-ը
Վավեր հաճախորդի վկայագիրն ու ժամկետանց չեղարկման ցանկը երկու տարբեր օբյեկտներ են՝ երկու տարբեր ժամացույցներով։ Կարդացեք այն ցանկը, որը բեռնում է սերվերը, ապա նորից ստեղծեք այն։
Ամիսներ մնացած վկայագրերը և անմիջապես ձախողվող մուտքերը մատնանշում են երկու տարբեր օբյեկտներ՝ երկու տարբեր ժամացույցներով։ Սերվերը մերժում է կապերը, որովհետև չեղարկված վկայագրերի ցանկը, որին նա դիմում է, անցել է իր իսկ վավերականության ժամկետը, այլ ոչ թե այն պատճառով, որ օգտվողների վկայագրերը հնացել են։ Օգտվողի վկայագրի նորացումը ոչինչ չի անում այդ ցանկի համար։
Երկու ժամանակացույցերն իրարից բաժանելը հենց ամբողջ ախտորոշումն է, և այն փոխում է, թե ինչպիսին պետք է լինի շտկումը։
Երկու ժամացույց, և դրանցից միայն մեկն է վկայագիրը
Վկայագիրը կրում է վավերականության պատուհան։ Վկայագրերի չեղարկման ցանկը կրում է իր սեփական պատուհանը, ինչպես նաև թողարկող և ստորագրություն, և ստուգողները հրաժարվում են վստահել ցանկին, որի հաջորդ թարմացման ժամանակն անցել է։ Երբ դա տեղի է ունենում, հաճախորդը ներկայացնում է լիովին վավեր վկայագիր, և սերվերը միևնույն է կտրում է կապը՝ ցանկի մասին հաղորդագրությամբ։ Օգտվողները այդ հաղորդագրությունը կարդում են որպես «վկայագիրը ժամկետանց է», ինչը նորացման հայտը ուղարկում է սխալ տեղ։
Երկու օբյեկտներն ունեն նաև տարբեր սեփականատերեր՝ վկայագիրը գալիս է այն CA-ից, որը թողարկել է այն, մինչդեռ ցանկը ժամանակացույցով ստեղծում է նա, ով շահագործում է այդ CA-ն։ Օգտվողը չի կարող թարմացնել այն, և վկայագրերի վերաթողարկումը չի կարող երկարացնել այն։
Կարդացեք այն ցանկը, որը ծառայությունը փաստացի բեռնում է
Սկսեք գործող կարգավորումից, այլ ոչ թե այն ֆայլից, որը սպասում եք։ crl-verify-ի ուղին կարող է լինել բացարձակ, պրոֆիլի նկատմամբ հարաբերական կամ պատկերի մեջ ներկառուցված պատճեն, և ստուգողը կարդում է այդ պատճենը։ Զննեք այն տեղում openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate-ով և համեմատեք ամսաթվերը սերվերի ժամացույցի հետ։
Ապա հաստատեք, որ ֆայլն իսկապես օգտագործվողն է. ստուգեք դրա ստորագրությունը openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout-ով, որը հաղորդում է ստուգման արդյունք՝ դաշտերը լուռ տպելու փոխարեն։ Այլ CA-ի կողմից ստորագրված ցանկը կամ երկրորդ պանակում թողնված հնացած պատճենը ձախողվում է ճիշտ այնպես, ինչպես ժամկետանցը։
Նորից ստեղծեք չեղարկման տվյալների բազայից, ոչ զրոյից
Նոր ցանկը պետք է գա CA-ի ընթացիկ չեղարկման տվյալների բազայից՝ հաստատված ստորագրման գործընթացով։ Դատարկ ցանկ ստեղծելը կամ ինդեքսի հին պահուստից նորից ստեղծելը լուռ չեղարկում է այդ պահուստից հետո ավելացված յուրաքանչյուր ինքնության չեղարկումը։ Դա մուտքի խափանումը վերածում է անվտանգության հետընթացի, և ոչ ոք չի նկատում, որովհետև ախտանիշն անհետանում է։
Ստեղծման քայլը պահեք տարբերակների վերահսկման տակ՝ CA-ի մնացած գործիքների հետ, որպեսզի ինտերվալը և ստորագրման բանալին փաստաթղթավորվեն, ոչ թե հիշվեն։ Բավական է runbook-ի գրառում, որը նշում է հրամանը, ստորագրողին և հրապարակման թիրախը։ Այդ դեպքում հերթապահ որևէ մարդ կարող է նորից ստեղծել՝ չգուշակելով, թե որ ինդեքս ֆայլն է հեղինակավոր։ Ցանկի սերիական համարը և հաջորդ թարմացման ժամանակը պահեք տեղադրման գրառման հետ։
Տեղադրեք այնտեղ, որտեղ նայում է ստուգողը
Պատճենեք նոր ցանկը այն ուղուն, որը կարդում է ծառայությունը, սահմանեք սեփականատիրությունը և ռեժիմն այնպես, որ ծառայության հաշիվը կարողանա կարդալ այն, իսկ մյուսները՝ ոչ, ապա վերաբեռնեք կամ վերագործարկեք փաստաթղթավորված վարքագծի համաձայն։ Եթե դեմոնը ցանկը պահում է քեշում գործարկման պահին, ապա ֆայլի փոխարինումը առանց վերաբեռնման ոչինչ չի փոխում, ինչը գործող գործընթացը կնկատի։ Հաստատեք այն ժամանիշը, որը գործընթացը հաղորդում է վերաբեռնումից հետո։
Եթե մի քանի ծառայություններ են ստուգում հաճախորդներին, տեղադրեք դրանցից յուրաքանչյուրում։ Մեկ վերջնակետ թարմացնելը և մյուսը հին պատճենով թողնելը ստեղծում է խափանում, որը երևում է միայն այն օգտվողների մոտ, ովքեր ընկնում են երկրորդի վրա։ Այդ վերջնակետերի կարճ ցանկը պահեք նույն runbook-ում։ Տեղադրումից հետո ստուգեք յուրաքանչյուրի հաղորդած ցանկի ամսաթիվը՝ պատճենի հասնելը ենթադրելու փոխարեն։
Հաջորդ վերջնաժամկետը դարձրեք տեսանելի, մինչ այն կանցնի
Ավելի երկար հրապարակման ինտերվալը նվազեցնում է այս դեպքի հաճախականությունը՝ առանց գործընթաց ստեղծելու։ Ընտրեք ինտերվալը օպերատորի քաղաքականությունից, ապա տեղադրված ցանկի հաջորդ թարմացման դաշտի վրա ազդանշան տվեք՝ նորից ստեղծելու և տեղադրելու համար բավարար ժամանակով։ Ազդանշան տվեք տեղադրված պատճենի վրա, ոչ թե CA-ի հոսթի, որովհետև տեղադրված պատճենն է ձախողվում։
Տեղադրումից հետո ստուգեք երկու ուղղությունները՝ թույլատրված օգտվողը միանում է, և հայտնի չեղարկված ինքնությունը դեռ ձախողվում է։ Երկրորդ ստուգումն է, որ բռնում է թերի վերաստեղծումը, և դա պահանջում է մեկ հրաման այն թեստային պրոֆիլի դեմ, որը պահում եք հենց այդ նպատակով։