Сіздің VPN сертификатыңыз бүгін бітеді: шын мәнінде не тоқтайды

Мерзімнің бітуі туралы ескерту қосылады, туннель әлі де трафикті өткізіп жатыр және күннің маңызды екендігі туралы ешкім келіспейді. Маңызды, бірақ әрдайым сертификатта басылған сәтте емес. Мерзімі біткен сертификат жаңа аутентификацияларды тоқтатады және кейбір іске асырулар ұзақ сессияның ішінде жасайтын қайта тексерулерді де тоқтатады. Қолданыстағы туннеліңіздің түн ортасында өлуі протоколға, клиентке және сервердің қайта келіссөз баптауларына байланысты. Жаңартуды күннен бұрын жоспарлаңыз және оны бұрыннан ашық сессиямен емес, жаңа кірумен тексеріңіз.

Шын мәнінде қай сертификаттың мерзімі бітетінін анықтаңыз

Орналастыру сервердің жапырақ сертификатын, клиенттік тіркелгі деректерін, бір немесе бірнеше аралық сертификатты және сенім тірегін қамтиды және олар бірге бітпейді. Қатеде аталған сертификатты және ол ұсынылған тізбекті оқыңыз, профиль каталогындағы бірінші файлды емес. Таза жаңартылатын сервер жапырағы үстіндегі аралық сертификаттың мерзімі бітсе, бәрібір сәтсіз болуы мүмкін. Бірдеңені өзгертуден бұрын әр файлдың субъектісін, эмитентін, not-after мәнін және орналастыру орнын жазып алыңыз.

Сенім тірегі әдетте ең ұзақ өмір сүретін нысан және себеп болу ықтималдығы ең төмен.

Неге тірі сессия күннен асып кете алады

Аутентификация қосылым орнатылғанда болады, ал кейбір протоколдар кейінрек сәйкестікті қайта тексереді. OpenVPN деректер арнасын таймер бойынша қайта келіседі, сондықтан мерзімі біткен сертификатты ұсынатын қайта келіссөз туннель сағаттар бойы жұмыс істеп тұрса да сәтсіз аяқталады. Ешқашан қайта тексермейтін іске асырулар орнатылған сессияны мерзімі бітетін күннен асырып алып жүре алады, сондықтан «әлі жұмыс істейді» дәлел емес. Бұл екі мінез-құлықтың ешқайсысын жоспарлауға болмайды.

Күнді жаңа кірулердің соңғы мерзімі, ал сессияның өмірін қарызға алынған уақыт деп қараңыз.

Сертификатты кінәламас бұрын сағатты тексеріңіз

Жарамдылық жергілікті сағатқа қатысты бағаланады, сондықтан уақыты қате құрылғы толық өзекті сертификат үшін жарамдылық ақауын хабарлайды. Клиентті, серверді және жолдағы кез келген құрылғыны тексеріңіз.

Іске қосылу кезінде нөлденетін сағат тек электр қуаты үзілгеннен кейін пайда болатын ақауларды түсіндіреді.

Оны берген орган арқылы жаңартыңыз

Сәйкестікті, көзделген мақсатты және үйлесімді кілт конфигурациясын сақтаңыз. Егер жаңарту жаңа эмитентті немесе бекітілген сертификатты енгізсе, клиенттерге сервердегі файлды ауыстыру емес, келісілген сенім жаңартуы қажет. Беру және тарату кезінде жеке кілттерді қорғаңыз, өйткені жаңартылған сертификат бұзылған ескі кілтті кері қайтармайды. Құпия сөзді қалпына келтіру жаңарту емес, билет не десе де.

Жаңа тізбекті толығымен жариялаңыз, өйткені аралығы жоқ жапырақ — тек оны бұрын кэштеген машиналарда жұмыс істейтін жарты жаңарту.

Жаңа кірумен дәлелдеңіз, кері қайтару жолын ұстаңыз

Орналастырудан кейін өкілді клиенттен жаңа рұқсат етілген қосылым орнатып, нақты қолданбаны байқап көріңіз. Тізбектің клиенттер күткендей жеткізілетінін және кез келген кері қайтару ақпаратының қолжетімді екенін тексеріңіз. Мерзімі біткен материалға сенуге тәуелді емес кері қайтаруды ұстаңыз, сонда тексеруді әлсіретпей бұрынғы күйге орала аласыз. Ескірген файлдарды ауыстыру тексерілгеннен кейін ғана жойыңыз.

Бар сессиялар әлі де бұрынғы күйді көрсетуі мүмкін, сондықтан екі жаққа да ештеңе дәлелдемейді.

Сол күні қолданатын тәртібім

Мерзімі бітіп жатқан нысанды және оның тізбегін растаңыз, содан кейін сағаттарды растаңыз:

• Қай сертификаттың мерзімі бітеді және ол қай тізбекке жатады.
• Әр аралық сертификат орналастырылған және жарияланған ба.
• Клиент пен сервер сағаттары ақылға қонымды шекте сәйкеседі.
• Өкілді клиенттен жаңа кіру сәтті.
• Кері қайтару ақпараты қолжетімді.
• Тексеруді әлсіретпейтін кері қайтару бар.

Содан кейін жаңартыңыз, толық тізбекті орналастырыңыз, жаңа кірумен сынаңыз және тек содан кейін тазалаңыз. Жарамдылық мерзімдері мен оларды бағалау ережелері RFC 5280 құжатында анықталған және егер мониторингіңіз шын мәнінде мерзімі бітетін нысанды бақыласа, күн тосынсый емес.