Жаңа VPN кірулері сертификаттар жарамды болса да сәтсіз аяқталады: CRL-ді тексеріңіз

Әлі айлары қалған сертификаттар мен бірден сәтсіз аяқталатын кірулер екі түрлі сағаттағы екі түрлі нысанды көрсетеді. Сервер қосылымдарды қабылдамайды, себебі ол жүгінетін кері қайтарылған сертификаттар тізімі өзінің жарамдылық мерзімінен асып кеткен, ал пайдаланушылардың сертификаттары ескіргендіктен емес. Пайдаланушы сертификатын жаңарту бұл тізімге еш нәрсе істемейді.

Екі кестені бөлу — бұл бүкіл диагностика, және ол түзетудің қандай болуы керектігін өзгертеді.

Екі сағат, және олардың тек біреуі ғана сертификат

Сертификат жарамдылық терезесін алып жүреді. Сертификаттарды кері қайтару тізімі өз терезесін, сонымен қатар шығарушы мен қолтаңбаны алып жүреді, ал тексерушілер келесі жаңарту уақыты өтіп кеткен тізімге сенуден бас тартады. Бұл орын алғанда, клиент толығымен жарамды сертификат ұсынады, ал сервер тізім туралы хабарламамен қосылымды бәрібір үзеді. Пайдаланушылар бұл хабарламаны «сертификат мерзімі өтті» деп оқиды, бұл жаңарту сұранысын дұрыс емес жерге жібереді.

Екі нысанның иелері де әртүрлі: сертификат оны шығарған CA-дан келеді, ал тізім кесте бойынша сол CA-ны басқаратын адаммен жасалады. Пайдаланушы оны жаңарта алмайды, ал сертификаттарды қайта шығару оны ұзарта алмайды.

Қызмет шын мәнінде жүктейтін тізімді оқыңыз

Күткен файлдан емес, жұмыс істеп тұрған конфигурациядан бастаңыз. crl-verify жолы абсолютті, профильге қатысты немесе образға салынған көшірме болуы мүмкін, ал тексеруші сол көшірмені оқиды. Оны орнында openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate арқылы тексеріп, күндерді сервердің сағатымен салыстырыңыз.

Содан кейін файлдың шынымен қолданылып жатқан файл екенін растаңыз: оның қолтаңбасын openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout арқылы тексеріңіз, ол өрістерді үнсіз басып шығарудың орнына тексеру нәтижесін хабарлайды. Басқа CA қол қойған тізім немесе екінші каталогта қалған ескірген көшірме дәл мерзімі өткен тізім сияқты сәтсіз аяқталады.

Нөлден емес, кері қайтару дерекқорынан қайта жасаңыз

Жаңа тізім CA-ның ағымдағы кері қайтару дерекқорынан, бекітілген қол қою процесі арқылы келуі керек. Бос тізім жасау немесе индекстің ескі сақтық көшірмесінен қайта жасау сол көшірмеден кейін қосылған әрбір сәйкестіктің кері қайтарылуын үнсіз жояды. Бұл кіру үзілісін қауіпсіздік регрессиясына айналдырады, және ешкім байқамайды, өйткені белгі жоғалады.

Жасау қадамын CA-ның қалған құралдарымен бірге нұсқаларды басқаруда ұстаңыз, интервал мен қол қою кілті есте сақталудың орнына құжатталуы үшін. Команданы, қол қоюшыны және жариялау мақсатын атайтын runbook жазбасы жеткілікті. Сонда кезекшіліктегі кез келген адам қай индекс файлының өкілетті екенін болжамай-ақ қайта жасай алады. Тізімнің сериялық нөмірі мен келесі жаңарту уақытын орналастыру жазбасымен бірге сақтаңыз.

Тексеруші қарайтын жерге орналастырыңыз

Жаңа тізімді қызмет оқитын жолға көшіріңіз, меншік пен режимді қызметтік тіркелгі оқи алатындай, басқалары оқи алмайтындай етіп орнатыңыз, содан кейін құжатталған мінез-құлыққа сәйкес қайта жүктеңіз немесе қайта іске қосыңыз. Егер демон тізімді іске қосу кезінде кэштесе, қайта жүктемей файлды ауыстыру жұмыс істеп тұрған процесс байқайтын еш нәрсені өзгертпейді. Қайта жүктеуден кейін процесс хабарлайтын уақыт белгісін растаңыз.

Егер бірнеше қызмет клиенттерді тексеретін болса, олардың әрқайсысына орналастырыңыз. Бір шеткі нүктені жаңартып, екіншісін ескі көшірмемен қалдыру тек екіншісіне тап болатын пайдаланушыларда ғана көрінетін ақау тудырады. Сол шеткі нүктелердің қысқа тізімін сол runbook-та ұстаңыз. Орналастырудан кейін көшірме жетті деп болжаудың орнына әрқайсысының хабарлаған тізім күнін тексеріңіз.

Келесі мерзімді ол өтпей тұрып көрінетін етіңіз

Ұзағырақ жариялау интервалы бұл оқиғаның жиілігін процес құрмай-ақ төмендетеді. Интервалды оператордың саясатынан таңдаңыз, содан кейін қайта жасау мен орналастыруға жеткілікті уақыт қалдырып, орналастырылған тізімнің келесі жаңарту өрісіне дабыл қойыңыз. Дабылды орналастырылған көшірмеге қойыңыз, CA хостына емес, өйткені сәтсіз аяқталатын нәрсе — орналастырылған көшірме.

Орналастырудан кейін екі бағытты да тексеріңіз: рұқсат етілген пайдаланушы қосылады, ал белгілі кері қайтарылған сәйкестік әлі де сәтсіз аяқталады. Екінші тексеру — толық емес қайта жасауды ұстап қалатын тексеру, және ол дәл осы мақсат үшін ұстайтын сынақ профиліне қарсы бір команданы қажет етеді.