Nei VPN-Umellungen schloen, obwuel d’Zertifikater gülteg sinn: kuckt d’CRL un

Zertifikater mat nach Méint an Umellungen, déi direkt schloen, weisen op zwee verschidde Objete mat zwou verschiddenen Aueren. De Server refuséiert Verbindungen, well d’Lëscht vun de gespaarte Zertifikater, déi en consultéiert, hiren eegene Verfallsdatum iwwerschratt huet, an net well d’Zertifikater vun de Benotzer eelleg ginn sinn. D’Erneierung vun engem Benotzerzertifikat mécht näischt fir déi Lëscht.

Déi zwou Pläng ze trennen ass déi ganz Diagnos, an et ännert, wéi d’Reparatur misst ausgesinn.

Zwou Aueren, an nëmmen eng dovun ass d’Zertifikat

E Zertifikat dréit e Gültegkeetsfenster. Eng Zertifikatssperrleescht dréit hiert eegent Fenster, plus en Aussteller an eng Ënnerschrëft, an d’Iwwerpréifer refuséieren enger Leescht ze vertrauen, där hirem nächsten Updat-Zäitpunkt vergaangen ass. Wann dat geschitt, présentéiert de Client en absolut gültegt Zertifikat an de Server trennt d’Verbindung awer mat enger Noriicht iwwer d’Leescht. D’Benotzer liesen déi Noriicht als 'd’Zertifikat ass ofgelaf', wat d’Erneierungsufro op déi falsch Plaz schéckt.

Déi zwee Objete hunn och verschidden Eegentümer: d’Zertifikat kënnt vun der CA, déi et ausgestallt huet, wärend d’Leescht no engem Plang vun deem generéiert gëtt, deen déi CA bedreift. E Benotzer kann se net erneieren, an d’Neiausstelle vu Zertifikater kann se net verlängeren.

Liest d’Leescht, déi de Service tatsächlech lued

Fänkt bei der lafender Konfiguratioun un, net bei der Datei, déi Dir erwaart. De Wee vun crl-verify kann absolut sinn, relativ zum Profil oder eng Kopie, déi an en Image agebakt ass, an den Iwwerpréifer liest déi Kopie. Examinéiert se op der Plaz mat openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate a vergläicht d’Datumer mat der Auer vum Server.

Bestätegt duerno, datt d’Datei wierklech déi ass, déi benotzt gëtt: kontrolléiert hir Ënnerschrëft mat openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout, déi en Iwwerpréifungsresultat mellt, amplaz d’Felder stëll ze drécken. Eng Leescht, déi vun enger anerer CA ënnerschriwwen ass, oder eng eelleg Kopie, déi an engem zweeten Verzeechnes läit, schléit genee wéi eng ofgelafene fehl.

Generéiert aus der Sperrdatenbank nei, net vun Null un

Déi nei Leescht muss aus der aktueller Sperrdatenbank vun der CA kommen, iwwer de geneemegten Ënnerschrëftsprozess. Eng eidel Leescht ze generéieren oder aus enger aler Sécherungskopie vum Index nei ze generéieren hieft stëll d’Sperrung vun all Identitéit op, déi zënter där Kopie bäigefüügt gouf. Dat verwandelt en Umellungsausfall an eng Sécherheetsregressioun, an et mierkt keen et, well de Symptom verschwënnt.

Halt de Generéierungsschrëtt a Versiounskontroll zesumme mam Rescht vun de CA-Werkzeugen, sou datt den Intervall an de Ënnerschrëftsschlëssel dokumentéiert sinn amplaz sech ze erënneren. En Runbook-Anträg, deen de Kommando, den Ënnerschreiwer an d’Publikatiounszil nennt, ass genuch. Dann kann jiddereen am Bereetschaftsdéngscht nei generéieren, ouni ze roden, wéi eng Indexdatei autoritativ ass. Späichert d’Seriennummer vun der Leescht an d’Zäit vum nächsten Update mat dem Deploymentrecord.

Stellt do aus, wou den Iwwerpréifer kuckt

Kopéiert déi nei Leescht op de Wee, deen de Service liest, setzt Proprietéit a Modus esou, datt de Servicekont se liese kann, anerer awer net, an luet oder start nei no dem dokumentéierte Verhalen. Wann den Daemon d’Leescht beim Start cachet, ännert d’Ersetze vun der Datei ouni Neiilueden näischt, wat de lafende Prozess bemierke géif. Bestätegt den Zäitstempel, deen de Prozess no der Neiilueden mellt.

Wann e puer Servicer Clienten iwwerpréifen, stellt op jiddwerengem dovun aus. Een Endpunkt aktualiséieren an en aneren mat der aler Kopie loossen erzeugt e Fehler, deen nëmme bei de Benotzer erschéngt, déi op deen zweete geroden. Halt eng kuerz Lëscht vun dësen Endpunkten am selwechte Runbook. Iwwerpréift no der Ausrollung dat gemellt Lëschtdatum vun jiddwerengem, amplaz unzehuelen, datt d’Kopie ukomm ass.

Maacht déi nächst Frist siichtbar, ier se verstreicht

En längeren Publikatiounsintervall senkt d’Häufegkeet vun dësem Tëschefall, ouni e Prozess ze schafen. Wielt den Intervall aus der Politik vum Bedreiwer a setzt duerno en Alarm op d’Feld fir den nächsten Update vun der ausgerullter Leescht mat genuch Virlaafzäit fir nei ze generéieren an auszerullen. Alarméiert op der ausgerullter Kopie, net um CA-Host, well déi ausgerullt Kopie ass dat, wat fehlschléit.

Iwwerpréift no der Ausrollung béid Richtungen: en erlaabte Benotzer verbënnt, an eng bekannt gespaarte Identitéit schléit nach ëmmer fehl. Déi zweet Kontroll ass déi, déi eng onkomplett Neigeneréierung fänkt, an se brauch ee Kommando géint e Testprofil, deen Dir genee fir dësen Zweck halt.