Ný VPN-innskráning mistekst þótt skírteini séu gild: athugið CRL-inn

Skírteini sem eiga mánuði eftir og innskráningar sem mistekst samstundis benda til tveggja ólíkra hluta á tveimur ólíkum klukkum. Þjónninn hafnar tengingum því listinn yfir afturkölluð skírteini sem hann ráðfærir sig við hefur farið fram úr eigin gildistíma, ekki því að skírteini notendanna hafi orðið gömul. Endurnýjun notendaskírteinis gerir ekkert fyrir þann lista.

Aðgreiningin á tveimur tímaáætlununum er öll greiningin, og hún breytir því hvernig lagfæringin verður að vera.

Tvær klukkur, og aðeins önnur þeirra er skírteinið

Skírteini ber gildisglugga. Afturköllunarlisti skírteina ber sinn eigin glugga, auk útgefanda og undirskriftar, og sannprófendur neita að treysta lista þar sem tími næstu uppfærslu er liðinn. Þegar það gerist kynnir biðlarinn fullkomlega gilt skírteini og þjónninn slekkur samt á tengingunni með skilaboðum um listann. Notendur lesa þau skilaboð sem 'skírteinið er útrunnið', sem sendir endurnýjunarbeiðnina á rangann stað.

Hlutirnir tveir hafa líka ólíka eigendur: skírteinið kemur frá CA sem gaf það út, en listinn er búinn til samkvæmt áætlun af þeim sem rekur þá CA. Notandi getur ekki endurnýjað hann, og endurútgáfa skírteina getur ekki lengt hann.

Lestu listann sem þjónustan hleður í raun

Byrjaðu á keyrandi stillingunni frekar en skránni sem þú býst við. Slóðin í crl-verify getur verið algild, miðað við sniðið eða afrit sem er bakað inn í ímynd, og sannprófandinn les það afrit. Skoðaðu hana á sínum stað með openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate og berðu dagsetningarnar saman við klukku þjónsins.

Staðfestu svo að skráin sé í raun sú sem er í notkun: athugaðu undirskrift hennar með openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout, sem tilkynnir sannprófunarniðurstöðu í stað þess að prenta reiti þegjandi. Listi sem er undirritaður af annarri CA, eða gömul afrit sem skilin eru eftir í annarri möppu, mistekst nákvæmlega eins og útrunninn listi.

Endurnýjaðu úr afturköllunargagnagrunninum, ekki frá grunni

Nýi listinn verður að koma úr núverandi afturköllunargagnagrunni CA, í gegnum samþykkt undirskriftarferli. Að búa til tóman lista, eða endurnýja úr gömlum öryggisafritum af skránni, afturkallar þegjandi hverja þá auðkenningu sem bætt var við eftir það afrit. Það breytir innskráningsstoppi í öryggisbakslag, og enginn tekur eftir því því einkennið hverfur.

Haltu skrefinu við að búa listann undir útgáfustjórnun með öðrum CA-verkfærum, svo bilið og undirskriftarlykillinn séu skjalfest en ekki munaðir. Færsla í runbook sem nefnir skipunina, undirritandann og birtingarmarkmiðið er nóg. Þá getur hver sá sem er á vakt endurnýjað án þess að giska á hvaða skrá sé valdbær. Geymdu raðnúmer listsins og tíma næstu uppfærslu með dreifingarfærslunni.

Dreifðu þar sem sannprófandinn horfir

Afritaðu nýja listann á slóðina sem þjónustan les, stilltu eignarhald og réttindi þannig að þjónustureikningurinn geti lesið hann en aðrir ekki, og endurhlaðið eða endurræsið samkvæmt skjalfestri hegðun. Ef daemoninn skyggir listann við ræsingu breytir það engu sem keyrandi ferlið tekur eftir að skipta um skrá án endurhleðslu. Staðfestu tímastimpilinn sem ferlið tilkynnir eftir endurhleðsluna.

Ef nokkrar þjónustur sannprófa biðlara skaltu dreifa til hverrar þeirra. Að uppfæra einn endapunkt og skilja annan eftir með gamla afritinu framkallar bilun sem kemur aðeins fram hjá notendum sem lenda á þeim síðari. Haltu stuttum lista yfir þessa endapunkta í sama runbook. Eftir dreifinguna skaltu athuga tilkynnta listadagsetningu hvers þeirra í stað þess að gera ráð fyrir að afritið hafi komist á leiðarenda.

Gerðu næsta skiladag sýnilegan áður en hann líður

Lengra birtingarbil lækkar tíðni þessa atviks án þess að búa til ferli. Veldu bilið úr stefnu rekstraraðilans, settu svo viðvörun á reit næstu uppfærslu dreifða listsins með nægum fyrirvara til að endurnýja og dreifa. Settu viðvörun á dreifða afritið, ekki á CA-hýsilinn, því dreifða afritið er það sem mistekst.

Eftir dreifinguna skaltu sannprófa báðar áttir: leyfður notandi tengist, og þekkt afturkölluð auðkenning mistekst enn. Önnur athugunin er sú sem grípur ófullkomna endurnýjun, og hún þarf eina skipun gegn prófunarsniði sem þú heldur einmitt í þessum tilgangi.