Жаңы VPN кирүүлөрү сертификаттар жарактуу болсо да ишке ашпайт: CRLди текшериңиз

Дагы айлары калган сертификаттар жана дароо ишке ашпаган кирүүлөр эки башка сааттагы эки башка объектини көрсөтөт. Сервер байланыштарды четке кагууда, анткени ал кайрылган кайтарылган сертификаттардын тизмеси өзүнүн жарактуулук мөөнөтүнөн ашып кеткен, ал эми колдонуучулардын сертификаттары эскиргендиктен эмес. Колдонуучунун сертификатын жаңыртуу бул тизме үчүн эч нерсе кылбайт.

Эки графикти бөлүү — бул бүт диагностика, жана ал оңдоонун кандай болушу керектигин өзгөртөт.

Эки саат, жана алардын бирөө гана сертификат

Сертификат жарактуулук терезесин алып жүрөт. Сертификаттарды кайтаруу тизмеси өз терезесин, ошондой эле чыгаруучуну жана кол тамганы алып жүрөт, жана текшерүүчүлөр кийинки жаңыртуу убактысы өтүп кеткен тизмеге ишенүүдөн баш тартышат. Бул болгондо, кардар толугу менен жарактуу сертификатты көрсөтөт, ал эми сервер тизме тууралуу билдирүү менен байланышты үзөт. Колдонуучулар бул билдирүүнү «сертификаттын мөөнөтү бүттү» деп окушат, бул жаңыртуу өтүнүчүн туура эмес жерге жөнөтөт.

Эки объектинин ээлери да башка: сертификат аны чыгарган CAдан келет, ал эми тизме график боюнча ошол CAны башкарган адам тарабынан түзүлөт. Колдонуучу аны жаңырта албайт, жана сертификаттарды кайра чыгаруу аны узарта албайт.

Кызмат чындыгында жүктөгөн тизмени окуңуз

Күткөн файлдан эмес, иштеп жаткан конфигурациядан баштаңыз. crl-verify жолу абсолюттук, профилге карата салыштырмалуу же образга салынган көчүрмө болушу мүмкүн, жана текшерүүчү ошол көчүрмөнү окуйт. Аны ордунда openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate аркылуу текшерип, күндөрдү сервердин сааты менен салыштырыңыз.

Андан кийин файлдын чындыгында колдонулуп жаткан файл экенин ырастаңыз: анын кол тамгасын openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout аркылуу текшериңиз, ал талааларды үнсүз басып чыгаруунун ордуна текшерүү жыйынтыгын билдирет. Башка CA кол койгон тизме же экинчи каталогдо калган эскирген көчүрмө так мөөнөтү өткөн тизме сыяктуу ишке ашпайт.

Нөлдөн эмес, кайтаруу маалымат базасынан кайра жаратыңыз

Жаңы тизме CAнын учурдагы кайтаруу маалымат базасынан, бекитилген кол коюу процесси аркылуу келиши керек. Бош тизме жаратуу, же индекстин эски камдык көчүрмөсүнөн кайра жаратуу ошол көчүрмөдөн кийин кошулган ар бир инсандын кайтарылышын үнсүз жокко чыгарат. Бул кирүү тыныгуусун коопсуздук регрессиясына айландырат, жана эч ким байкабайт, анткени белги жоголот.

Жаратуу кадамын CAнын калган куралдары менен бирге версиялык көзөмөлдө кармаңыз, интервал жана кол коюу ачкычы эсте калбастан документтештирилсин. Буйрукту, кол коюучуну жана жарыялоо максатын атаган runbook жазуусу жетиштүү. Анда кезекчиликтеги ар ким кайсы индекс файлы ыйгарым укуктуу экенин божомолдобой эле кайра жарата алат. Тизменин сериялык номерин жана кийинки жаңыртуу убактысын жайгаштыруу жазуусу менен бирге сактаңыз.

Текшерүүчү караган жерге жайгаштырыңыз

Жаңы тизмени кызмат окуган жолго көчүрүңүз, ээлик жана режимди кызмат эсеби окуй ала тургандай, башкалар окубай тургандай орнотуңуз, андан кийин документтештирилген жүрүм-турумга ылайык кайра жүктөңүз же кайра баштаңыз. Эгер демон тизмени иштетүү учурунда кэштесе, кайра жүктөбөстөн файлды алмаштыруу иштеп жаткан процесс байкай турган эч нерсени өзгөртпөйт. Кайра жүктөөдөн кийин процесс билдирген убакыт белгисин ырастаңыз.

Эгер бир нече кызмат кардарларды текшерсе, алардын ар бирине жайгаштырыңыз. Бир четки чекитти жаңыртып, экинчисин эски көчүрмө менен калтыруу экинчисине туш болгон колдонуучуларда гана көрүнгөн бузулуу жаратат. Ошол четки чекиттердин кыска тизмесин ошол эле runbookта кармаңыз. Жайгаштыруудан кийин көчүрмө жетти деп божомолдоонун ордуна ар биринин билдирген тизме күнүн текшериңиз.

Кийинки мөөнөттү ал өтпөстөн көрүнүктүү кылыңыз

Узунураак жарыялоо интервалы бул окуянын жыштыгын процесс түзбөстөн төмөндөтөт. Интервалды оператордун саясатынан тандаңыз, андан кийин кайра жаратуу жана жайгаштыруу үчүн жетиштүү убакыт менен жайгаштырылган тизменин кийинки жаңыртуу талаасына эскертүү коюңуз. Эскертүүнү жайгаштырылган көчүрмөгө коюңуз, CA хостyна эмес, анткени ишке ашпаган нерсе — жайгаштырылган көчүрмө.

Жайгаштыруудан кийин эки багытты тең текшериңиз: уруксат берилген колдонуучу туташат, жана белгилүү кайтарылган инсан дагы эле ишке ашпайт. Экинчи текшерүү — толук эмес кайра жаратууну кармаган текшерүү, жана ал так ушул максат үчүн кармаган сыноо профилине каршы бир буйрукту талап кылат.