Endurnýjun OpenVPN-vottorða: afhenda vottorðið, ekki tímateljarann

Tvær endurnýjunarsniðmát líta eins út í hönnunarúttekt og hegða sér gjörólíkt í janúar. Það fyrra keyrir tímateljara, gefur vottorð út að nýju og hendir skrám í deilda möppu. Það seinna lítur á endurnýjun sem afhendingarvandamál: hver biður, hvað sannar hæfi, hvernig efnið berst tækinu og hvað fær biðlarann til að nota það. Aðeins hið seinna lifir af ótengda fartölvu, úrelda eign og afhendingu sem mistókst hljóðlega.

Berðu sniðmátin tvö saman þar sem þau eru í raun ólík

Tímateljarasniðmátið fínstillir netþjónshliðina. Tímasett verkefni kallar á CA, nýtt vottorð birtist og stjórnandinn telur verkið lokið. Allt sem gerist eftir útgáfu er vandamál einhvers annars, þangað til tæki getur ekki tengst og gildistíminn útskýrir hvers vegna.

Vinnuflæðissniðmátið fínstillir síðasta míluna. Það gerir ráð fyrir að útgáfa sé ein hlekkur í keðju og að hvert síðara skref geti mistekist sjálfstætt. Það kostar meira að byggja og miklu minna að reka, því bilanir birtast sem rakin staða í stað útrunninna biðlara.

Gagnleg leið til að halda muninum fyrir augum er röðin sem hvert sniðmát verður að nefna skýrt.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Greindu gluggann úr vottorðinu sjálfu

Lestu gildistímann úr vottorðinu sem biðlarinn leggur í raun fram, ekki úr dagsetningunni sem er felld inn í afritað skráarnafn. Skráarnöfn rekast og skrá sem segir 2026 getur haldið skírteini sem rennur út í mars.

Skildu eftir svigrúm í glugganum fyrir hægu tilfellin: tæki sem eru ótengd í vikur, samþykki sem þurfa manneskju og afhendingarleiðir sem mistakast einu sinni áður en þær virka. Tímateljari sem tilkynnir árangur sannar aðeins að tímateljarinn rann, ekkert meira.

Heimilaðu beiðnina áður en nokkuð er gefið út

Núverandi vottorð getur verið hluti af lögmætri endurnýjunaraðferð, en hugtakstexti þess er ekki heimildarákvörðun. Spurningin sem á að svara er hvort þessi reikningur og þetta tæki eigi enn rétt á auðkenni í flotanum, og það svar býr í eignaskrám þínum, ekki í vottorðinu.

Úreld fartölva sem er enn með tímasett verkefni í gangi ætti ekki að fá nýjan rétt. RFC 7030 er þess virði að lesa hér vegna þess að það aðgreinir sannvottaða endurskráningu frá heimild og stefnu á netþjónshlið; það er fyrirmynd til að lána, ekki fullyrðing um að OpenVPN eða EasyRSA skili þeirri samskiptareglu.

Afhending, undirbúningur og virkjun sem aðskilin skref

Útgáfa varðveitir auðkenni, tilgang og útgáfusamband, og staðgengill sem búinn er til með nýju lyklapari er gagnslaus nema samsvarandi lykill ferðist með honum. Afhenda parinu um rás sem hefur aðgangsstýringarsniðmát að baki, því ógiskandi URL er dulbúningur en ekki stýring.

Undirbúningurinn er þar sem mest af sjálfvirkninni brotnar hljóðlega. Innflutt prófíll getur staðið á einum stað á meðan stjórnandi uppfærir skrá annars staðar, og biðlarinn heldur áfram að leggja fram gamla vottorðið þar til einhver tekur eftir. Skrifaðu niður slóðina sem biðlarinn les, reikninginn sem má skrifa í hana og atburðinn sem hrindir af stað endurhleðslu. Staðfestu svo að staðgengillinn sé skráin sem er í raun notuð en ekki afrit sem barst við hliðina.

Sannprófun þýðir nýja auðkenningu með nýja efninu og athugun á forritinu sem notandinn þarf. Göng sem þegar voru sett upp geta enn endurspeglað fyrra skírteini, svo opin tenging er ekki sönnun um heppnaða endurnýjun.

Hannaðu fyrst endurheimtina fyrir gluggann sem missti af

Þegar fartölva nær skráningarvaktinni aðeins í gegnum VPN skapar gildistíminn lykkju: tækið þarf vottorð til að komast í göngin og göngin til að sækja vottorðið. Ákveddu úrræðið utan bands áður en fyrsta tímasetta verkefnið er sent, hvort sem það er sérstakur sannvottaður skráningarendapunktur eða endurskráning með aðstoð stjórnanda.

Hvað sem þú velur verður það að sannprófa beiðandann og núverandi rétt. Að stilla netþjóninn til að samþykkja útrunnin vottorð frá hverjum sem biður er ekki endurheimtarleið, það er varanleg veiking á þeirri athugun sem þú varðir með restinni af hönnuninni.

Að lokum skaltu halda endurnýjun og öryggisbrest í aðskildum ferlum. Lekið lykill krefst afturköllunar og viðbragðs við virkum lotum, og framlenging gildistímans inniheldur ekkert af því. Taktu ótengt tæki, misheppnaða afhendingu og úrelda eign með í viðtökuprófið og áætlunin er tilbúin að virkja.