VPN сертификатының сәйкестігін өзгертпей жаңарту

Сәйкестікті өзгертетін сертификатты жаңарту жаңарту емес, ол техникалық қызмет билетін киген көші-қон. Клиент атауды, тізбекті және кейде нақты кілтті тексереді, ал үшеуі де жарамдылық мерзімі өзгермей-ақ өзгеруі мүмкін. Ауыстыруды сұрамас бұрын клиенттің шын мәнінде нені тексеретінін жазып алыңыз: хост атауы немесе теңдестік сәйкестігі, сертификаттың мақсаты, кілт саясаты және шығарушы тізбек. Жаңарту ауыстыру осылардың қайсысын өзгертетініне қарай қалыпты немесе келісілген болады.

Үш шарт жаңартудың пішінін анықтайды

Үш шарт: бірдеңе жапырақты бекіте ме, тізбек өзгере ме және атауды тағы кім тексереді. Оларға CA-ның қолайлылығынан емес, клиент жағынан жауап беріңіз, өйткені түнгі сағат үште сәтсіздікке ұшырайтын клиент.

Қолыңыздағы сертификатты тексеруден бастаңыз. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName субъектіні, шығарушыны, жарамдылық терезесін және сертификат шын мәнінде жарамды атауларды басып шығарады. Осы соңғы өріс ең маңызды және жиі болжанады: клиент сүйенетін SAN-ды өткізіп жіберетін жаңарту сұранысы техникалық тұрғыдан жарамды, бірақ функционалдық тұрғыдан қате сертификат береді. SAN тізімін ескі сертификаттан сұранысқа көшіріңіз, оны жадтан қайта тергеннен гөрі.

Бірінші шарт: бірдеңе жапырақты бекіте ме

Егер клиенттер қолдау көрсетілетін CA-ға сеніп, атауды тексеретін болса, жаңа кілтпен жапырақты жаңарту олар үшін көрінбейді. Егер қандай да бір клиент жапырақ сертификатын, оның саусақ ізін немесе ашық кілтін бекітетін болса, ауыстыру қатты ауысуы бар келісілген өзгеріс, өйткені ескі бекіту жаңа сертификатты тексере алмайды.

Бірдеңе тапсырыс бермес бұрын қай жағдайда екеніңізді анықтаңыз. Ешкім құжаттамаған бекіту сынған кезде де бекіту болып қалады.

Екінші шарт: бекітулер мен тізбекті салыстырыңыз

Саусақ іздері бекітуді тексеруге болатын етеді: ескі және жаңа сертификатта openssl x509 -noout -fingerprint -sha256 -in server.crt, ал ашық кілттерді салыстыру үшін openssl x509 -noout -pubkey. Егер клиент конфигурациясы, мобильді профиль немесе құрылғының сенім қоймасы осы мәндердің біреуін қамтыса, сізде бекіту бар. Мобильді VPN профильдері жиі жасырынатын орын, өйткені профиль бір рет таратылады және одан әрі ешқашан тексерілмейді.

Егер ауыстыру сол аралықтан келсе және клиентте сол аралық бұрыннан бар болса немесе оны ала алса, сенім жағында ештеңе өзгермейді. Жаңа аралық, басқа шығарушы немесе қате ретпен жеткізілген тізбек жаңартуды сенім өзгерісіне айналдырады, ал ақау мерзімі өткен сертификатқа емес, белгісіз шығарушыға ұқсайды.

Сервер шын мәнінде жіберетін тізбекті openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts арқылы тексеріңіз және оны openssl verify -CAfile ca.pem -untrusted chain.pem server.crt арқылы жергілікті түрде растаңыз. Мұны өзгеріске дейін жасау кейін салыстыру үшін базалық сызық береді.

Үшінші шарт: атауды тағы кім тексереді

VPN концентраторы, жүктеме теңгерушісі, мониторинг зонды, RADIUS немесе SAML интеграциясы және мобильді профиль күтілетін атаудың немесе сенім тірегінің өз көшірмесін ұстай алады. Жаңарту — бұл көшірмелердің алшақтайтын сәті, өйткені сертификат өзгереді, ал көшірмелер өзгермейді.

Өзгеріске дейін әр тұтынушыны тізімдеп, әрқайсысына жаңарту қажет пе екенін шешіңіз. Ұмытып кеткеніңіз — сізге хабар береді.

Уақыт тұзағы да бар. Жарамдылықтың басталуын да, аяқталуын да тексеріңіз, өйткені кейінгі белсендіруге дайындалған сертификат тым ерте орнатылса қабылданбайды, ал қате дайындық мәселесіне емес, сағат мәселесіне ұқсайды. Жаңа файлда openssl x509 -noout -dates орналастыру алдында екі секундтық тексеру. Қолдау көрсетілетін қалпына келтіру жолын және белгілі жақсы конфигурацияны да ұстаңыз, сонда қате кеткен жаңартуды алдыңғы сертификат пен кілтті қалпына келтіру арқылы қайтаруға болады.

Орналастырыңыз, жаңа аутентификациямен растаңыз, содан кейін шығарыңыз

Орнатылған туннель ол салынған кезде болған тексеруді көрсетеді, сондықтан әрбір жаңа қосылым сәтсіз болған кезде ол сау көрінуі мүмкін. Клиенттер қолданатын нақты қызмет атауымен жаңа аутентификация арқылы сынаңыз.

Пайдаланушыға маңызды қолданбалық деңгейдегі тексеруді аяқтаңыз және тізбектің жеткізілуін сервер жағынан емес, клиент көзқарасы тұрғысынан растаңыз. Ауысуды тыныш ұстау үшін атау немесе сертификат тексерулерін басып тастамаңыз; бұл уақытша үйлесімділік мәселесін тұрақтыға айналдырады.

Ескірген материалды орналастыру расталғаннан кейін ғана шығарыңыз, ал бұзылған кілтті мүлде бөлек жағдай ретінде қарастырыңыз: жаңартудың өзі ештеңені кері қайтармайды, сондықтан зардап шеккен сәйкестікке орналастырудың кері қайтару және сессияларды басқару процесі қажет. RFC 5280 осының барлығының астарындағы сертификат және жолды тексеру ережелерін анықтайды. Қалыпты жапырақ жаңартуды CA ауыстырудан бөлек ұстаңыз, сонда клиенттерден себепсіз жаңа шығарушыға сену талап етілмейді.