Perpanjangan sertifikat OpenVPN: kirim sertifikatnya, bukan timernya

Dua rancangan perpanjangan tampak identik dalam tinjauan rancangan dan berperilaku sangat berbeda pada bulan Januari. Yang pertama menjalankan timer, menerbitkan ulang sertifikat, dan menjatuhkan berkas ke folder bersama. Yang kedua memperlakukan perpanjangan sebagai masalah pengiriman: siapa yang meminta, apa yang membuktikan kelayakan, bagaimana materi mencapai perangkat, dan apa yang membuat klien memakainya. Hanya yang kedua bertahan menghadapi laptop offline, aset yang sudah dipensiunkan, dan pengiriman yang gagal secara diam-diam.

Bandingkan kedua rancangan di titik di mana keduanya benar-benar berbeda

Rancangan timer mengoptimalkan sisi server. Tugas terjadwal memanggil CA, sertifikat baru muncul, dan operator menganggap pekerjaan selesai. Segala hal yang terjadi setelah penerbitan adalah masalah orang lain, sampai sebuah perangkat gagal terhubung dan tanggal kedaluwarsa menjelaskan sebabnya.

Rancangan alur kerja mengoptimalkan mil terakhir. Ia mengasumsikan penerbitan adalah satu mata rantai dan setiap langkah berikutnya bisa gagal secara mandiri. Itu lebih mahal untuk dibangun dan jauh lebih murah untuk dioperasikan, karena kegagalan muncul sebagai status yang dilacak alih-alih sebagai klien yang kedaluwarsa.

Cara berguna untuk menjaga perbedaannya tetap terlihat adalah urutan yang harus disebutkan secara eksplisit oleh setiap rancangan.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Deteksi jendela dari sertifikat itu sendiri

Baca masa berlaku dari sertifikat yang benar-benar disajikan klien, bukan dari tanggal yang tertanam dalam nama berkas hasil salinan. Nama berkas bergeser, dan berkas yang bertuliskan 2026 bisa memuat kredensial yang kedaluwarsa pada bulan Maret.

Sisakan kelonggaran dalam jendela untuk kasus lambat: perangkat yang offline selama berminggu-minggu, persetujuan yang membutuhkan orang, dan jalur pengiriman yang gagal sekali sebelum berhasil. Timer yang melaporkan keberhasilan hanya membuktikan bahwa timer itu berjalan, tidak lebih.

Otorisasi permintaan sebelum apa pun diterbitkan

Sertifikat yang ada bisa menjadi bagian dari mekanisme perpanjangan yang sah, tetapi teks subjeknya bukan keputusan otorisasi. Pertanyaan yang harus dijawab adalah apakah akun ini dan perangkat ini masih berhak atas identitas di armada, dan jawaban itu hidup di catatan aset Anda, bukan di sertifikat.

Laptop yang sudah dipensiunkan tetapi tugas terjadwalnya masih berjalan seharusnya tidak menerima hak baru. RFC 7030 layak dibaca di sini karena memisahkan pendaftaran ulang yang terautentikasi dari otorisasi dan kebijakan di sisi server; itu model yang bisa dipinjam, bukan klaim bahwa OpenVPN atau EasyRSA menyediakan protokol itu.

Pengiriman, penyiapan, dan aktivasi sebagai langkah terpisah

Penerbitan mempertahankan identitas, tujuan, dan hubungan penerbitan, dan pengganti yang dibuat dengan pasangan kunci baru tidak berguna kecuali kunci yang cocok ikut bersamanya. Kirim pasangan itu melalui kanal yang di belakangnya ada rancangan kendali akses, karena URL yang tak terduga adalah penyamaran, bukan kendali.

Penyiapan adalah tempat sebagian besar otomasi rusak secara diam-diam. Profil yang diimpor bisa berada di satu lokasi sementara administrator memperbarui berkas di tempat lain, dan klien terus menyajikan sertifikat lama sampai seseorang menyadarinya. Tuliskan jalur yang dibaca klien, akun yang boleh menulis ke sana, dan peristiwa yang memicu pemuatan ulang. Lalu pastikan penggantinya adalah berkas yang benar-benar dipakai, bukan salinan yang tiba di sebelahnya.

Verifikasi berarti autentikasi baru dengan materi baru dan pemeriksaan aplikasi yang dibutuhkan pengguna. Tunnel yang sudah terbentuk mungkin masih mencerminkan kredensial sebelumnya, jadi koneksi yang terbuka bukan bukti perpanjangan yang berhasil.

Rancang lebih dulu pemulihan jendela yang terlewat

Ketika laptop hanya mencapai layanan pendaftaran melalui VPN, kedaluwarsa menciptakan lingkaran: perangkat butuh sertifikat untuk masuk tunnel dan tunnel untuk mengambil sertifikat. Putuskan pengaturan di luar jalur sebelum tugas terjadwal pertama dikirim, entah itu titik akhir pendaftaran yang diautentikasi terpisah atau pendaftaran ulang dengan bantuan administrator.

Apa pun yang Anda pilih, itu harus memverifikasi peminta dan hak yang berlaku sekarang. Mengonfigurasi server untuk menerima sertifikat kedaluwarsa dari siapa pun yang meminta bukan jalur pemulihan, melainkan pelemahan permanen atas pemeriksaan yang Anda pertahankan dengan sisa rancangan.

Terakhir, pisahkan perpanjangan dan kompromi dalam prosedur yang berbeda. Kunci yang bocor memerlukan pencabutan dan respons terhadap sesi aktif, dan memperpanjang tanggal kedaluwarsa tidak memuat hal itu. Sertakan perangkat offline, pengiriman yang gagal, dan aset yang dipensiunkan dalam uji penerimaan, dan jadwalnya siap diaktifkan.