VPN сертификатын идентификациясын өзгөртпөстөн жаңыртуу

Идентификацияны өзгөрткөн сертификат жаңыртуу жаңыртуу эмес, ал тейлөө билетин кийинген көчүү. Кардар атты, чынжырды жана кээде белгилүү ачкычты текшерет, жана үчөө тең жарактуулук мөөнөтү өзгөрбөстөн өзгөрүшү мүмкүн. Алмаштырууну сураардан мурун кардар чындыгында эмнени текшерерин жазыңыз: хост аты же теңтуштун идентификациясы, сертификаттын максаты, ачкыч саясаты жана чыгаруучу чынжыр. Жаңыртуу алмаштыруу ушулардын кайсынысын өзгөрткөнүнө жараша кадимки же макулдашылган болот.

Үч шарт жаңыртуунун формасын аныктайт

Үч шарт: бир нерсе жалбыракты бекемдейби, чынжыр өзгөрөбү жана атты дагы ким текшерет. Аларга CAнын ыңгайлуулугунан эмес, кардар тараптан жооп бериңиз, анткени түнкү саат үчтө ийгиликсиз болгон кардар.

Колуңуздагы сертификатты текшерүүдөн баштаңыз. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName субъектини, чыгаруучуну, жарактуулук терезесин жана сертификат чындыгында жарактуу болгон аттарды басып чыгарат. Ошол акыркы талаа эң маанилүү жана эң көп болжолдолот: кардар таянган SANды өткөрүп жиберген жаңыртуу сурамы техникалык жактан жарактуу, бирок функционалдык жактан туура эмес сертификат берет. SAN тизмесин эски сертификаттан сурамга көчүрүңүз, эстен кайра терүүнүн ордуна.

Биринчи шарт: бир нерсе жалбыракты бекемдейби

Эгер кардарлар колдоого алынган CAга ишенип, атты текшерсе, жаңы ачкыч менен жалбыракты жаңыртуу аларга көрүнбөйт. Эгер кандайдыр бир кардар жалбырак сертификатын, анын манжа изин же ачык ачкычын бекемдесе, алмаштыруу катуу өтүү менен макулдашылган өзгөрүү, анткени эски бекемдөө жаңы сертификатты текшере албайт.

Бир нерсеге буйрутма берүүдөн мурун кайсы учурда экениңизди билиңиз. Эч ким документтештирбеген бекемдөө сынганда да бекемдөө бойдон калат.

Экинчи шарт: бекемдөөлөрдү жана чынжырды салыштырыңыз

Манжа изи бекемдөөнү текшерүүгө мүмкүн кылат: эски жана жаңы сертификатта openssl x509 -noout -fingerprint -sha256 -in server.crt, жана ачык ачкычтарды салыштыруу үчүн openssl x509 -noout -pubkey. Эгер кардар конфигурациясы, мобилдик профиль же түзмөктүн ишеним кампасы ошол маанилердин бирин камтыса, сизде бекемдөө бар. Мобилдик VPN профилдери көп кездешүүчү жашыруун жай, анткени профиль бир жолу таратылат жана мындан ары эч качан текшерилбейт.

Эгер алмаштыруу ошол эле ортодуктан келсе жана кардарда ал ортодон мурун эле бар болсо же аны ала алса, ишеним тарапта эч нерсе өзгөрбөйт. Жаңы ортодон, башка чыгаруучу же туура эмес тартипте жеткирилген чынжыр жаңыртууну ишеним өзгөрүүсүнө айландырат, жана бузулуу мөөнөтү өткөн сертификатка эмес, белгисиз чыгаруучуга окшошот.

Сервер чындыгында жөнөткөн чынжырды openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts аркылуу текшериңиз жана аны openssl verify -CAfile ca.pem -untrusted chain.pem server.crt аркылуу жергиликтүү текшериңиз. Муну өзгөрүүдөн мурун жасоо кийин салыштыруу үчүн базалык сызык берет.

Үчүнчү шарт: атты дагы ким текшерет

VPN концентратору, жүктөм теңдештиргичи, мониторинг зонду, RADIUS же SAML интеграциясы жана мобилдик профиль күтүлгөн аттын же ишеним таянычынын өз көчүрмөсүн кармай алышат. Жаңыртуу — бул көчүрмөлөр ажыраган учур, анткени сертификат өзгөрөт, көчүрмөлөр өзгөрбөйт.

Өзгөрүүдөн мурун ар бир керектөөчүнү тизмелеп, ар бирине жаңыртуу керекпи же жокпу чечиңиз. Унутуп калганыңыз — сизди эскертет.

Убакыт тузагы да бар. Жарактуулуктун башталышын да, бүтүшүн да текшериңиз, анткени кийинки активдештирүү үчүн даярдалган сертификат өтө эрте орнотулса четке кагылат, жана ката даярдык маселесине эмес, саат маселесине окшошот. Жаңы файлда openssl x509 -noout -dates жайгаштыруудан мурун эки секунддук текшерүү. Колдоого алынган калыбына келтирүү жолун жана белгилүү жакшы конфигурацияны да сактаңыз, ошондо туура эмес кеткен жаңыртууну мурунку сертификат менен ачкычты калыбына келтирүү аркылуу кайтарууга болот.

Жайгаштырыңыз, жаңы аутентификация менен текшериңиз, анан чыгарыңыз

Орнотулган туннель ал курулганда болгон текшерүүнү чагылдырат, ошондуктан ар бир жаңы байланыш ийгиликсиз болгондо да ал ден соолуктуу көрүнүшү мүмкүн. Кардарлар колдонгон чыныгы кызмат аты менен жаңы аутентификация аркылуу сынаңыз.

Колдонуучуга маанилүү болгон колдонмо деңгээлиндеги текшерүүнү бүткөрүңүз жана чынжырдын жеткирилишин сервер тараптан эмес, кардар көз карашынан ырастаңыз. Өтүүнү тынч кармоо үчүн ат же сертификат текшерүүлөрүн басып таштабаңыз; бул убактылуу шайкештик маселесин туруктуу кылат.

Эскирген материалды жайгаштыруу ырасталгандан кийин гана чыгарыңыз, ал эми бузулган ачкычты такыр башка учур катары караңыз: жаңыртуунун өзү эч нерсени жокко чыгарбайт, ошондуктан жабыркаган идентификация үчүн жайгаштыруунун жокко чыгаруу жана сессияларды башкаруу процесси керек. RFC 5280 бунун баарынын астындагы сертификат жана жол текшерүү эрежелерин аныктайт. Кадимки жалбырак жаңыртууну CA алмаштыруудан өзүнчө кармаңыз, ошондо кардарлардан себепсиз жаңы чыгаруучуга ишенүү талап кылынбайт.