OpenVPN sertifikatų atnaujinimas: pristatykite sertifikatą, o ne laikmatį

Du atnaujinimo projektai dizaino peržiūroje atrodo vienodai, o sausį elgiasi visiškai skirtingai. Pirmasis paleidžia laikmatį, iš naujo išduoda sertifikatus ir meta failus į bendrą aplanką. Antrasis atnaujinimą traktuoja kaip pristatymo problemą: kas prašo, kas įrodo teisę, kaip medžiaga pasiekia įrenginį ir kas paskatina klientą ja naudotis. Tik antrasis atlaiko neprisijungusį nešiojamąjį kompiuterį, nurašytą turtą ir tyliai nepavykusį pristatymą.

Palyginkite abu projektus ten, kur jie iš tiesų skiriasi

Laikmačio projektas optimizuoja serverio pusę. Suplanuota užduotis iškviečia CA, atsiranda naujas sertifikatas, o operatorius laiko darbą atliktu. Viskas, kas vyksta po išdavimo, yra kažkieno kito problema, kol įrenginys nepajėgia prisijungti ir galiojimo pabaigos data paaiškina kodėl.

Darbo eigos projektas optimizuoja paskutinę mylią. Jis daro prielaidą, kad išdavimas yra viena grandinės grandis ir kad kiekvienas vėlesnis žingsnis gali nepavykti savarankiškai. Tai kainuoja daugiau kurti ir daug mažiau eksploatuoti, nes gedimai pasirodo kaip stebimos būsenos, o ne kaip pasibaigusio galiojimo klientai.

Naudingas būdas išlaikyti skirtumą akyse yra seka, kurią kiekvienas projektas turi aiškiai įvardyti.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Aptikite langą iš paties sertifikato

Galiojimą skaitykite iš sertifikato, kurį klientas iš tikrųjų pateikia, o ne iš datos, įterptos į nukopijuotą failo pavadinimą. Failų pavadinimai slenka, o faile, kuriame parašyta 2026, gali būti kredencialas, kurio galiojimas baigiasi kovą.

Palikite lango atsargą lėtiems atvejams: įrenginiai, kurie savaitėmis būna neprisijungę, patvirtinimai, kuriems reikia žmogaus, ir pristatymo keliai, kurie kartą nepavyksta prieš pradėdami veikti. Laikmatis, pranešantis apie sėkmę, įrodo tik tai, kad laikmatis veikė, nieko daugiau.

Įgaliojimas prašymui prieš ką nors išduodant

Esamas sertifikatas gali būti teisėto atnaujinimo mechanizmo dalis, bet jo subjekto tekstas nėra įgaliojimo sprendimas. Klausimas, į kurį reikia atsakyti, yra ar ši paskyra ir šis įrenginys vis dar turi teisę į tapatybę parke, ir tas atsakymas gyvena jūsų turto įrašuose, o ne sertifikate.

Nurašytas nešiojamasis kompiuteris, kurio suplanuota užduotis vis dar veikia, neturėtų gauti naujos teisės. RFC 7030 verta perskaityti, nes jis atskiria autentifikuotą perregistravimą nuo serverio pusės įgaliojimo ir politikos; tai modelis, kurį galima pasiskolinti, o ne teiginys, kad OpenVPN ar EasyRSA tiekia tą protokolą.

Pristatymas, paruošimas ir aktyvavimas kaip atskiri žingsniai

Išdavimas išsaugo tapatybę, paskirtį ir išdavimo ryšį, o pakaitalas, sukurtas su nauja raktų pora, yra bevertis, jei atitinkamas raktas nekeliauja su juo. Pristatykite porą kanalu, už kurio yra prieigos kontrolės projektas, nes nenuspėjamas URL yra slėpimas, o ne kontrolė.

Paruošimas yra vieta, kurioje dauguma automatizavimo tyliai lūžta. Importuotas profilis gali gulėti vienoje vietoje, kol administratorius atnaujina failą kitur, o klientas toliau pateikia seną sertifikatą, kol kas nors pastebi. Užsirašykite kelią, kurį klientas skaito, paskyrą, kuriai leidžiama į jį rašyti, ir įvykį, kuris sukelia pakartotinį įkėlimą. Tada patvirtinkite, kad pakaitalas yra failas, kuris iš tikrųjų naudojamas, o ne kopija, atkeliavusi šalia.

Patikra reiškia naują autentifikaciją su nauja medžiaga ir vartotojui reikalingos programos patikrą. Jau suformuotas tunelis gali vis dar atspindėti ankstesnį kredencialą, todėl atviras ryšys nėra sėkmingo atnaujinimo įrodymas.

Pirmiausia suprojektuokite praleisto lango atkūrimą

Kai nešiojamasis kompiuteris registracijos paslaugą pasiekia tik per VPN, pasibaigimas sukuria kilpą: įrenginiui reikia sertifikato, kad patektų į tunelį, o tuneliui – kad gautų sertifikatą. Nuspręskite dėl užjuostės tvarkos prieš išsiunčiant pirmą suplanuotą užduotį, nesvarbu, ar tai atskiras autentifikuotas registracijos taškas, ar administratoriaus padedama perregistracija.

Ką beatsirinktumėte, tai turi patikrinti prašytoją ir dabartinę teisę. Sukonfigūruoti serverį priimti pasibaigusius sertifikatus iš bet ko, kas paprašo, nėra atkūrimo kelias, tai nuolatinis patikros, kurią gynėte likusiu projektu, silpninimas.

Galiausiai laikykite atnaujinimą ir kompromitavimą atskirose procedūrose. Nutekėjęs raktas reikalauja atšaukimo ir atsako į aktyvias sesijas, o galiojimo datos pratęsime nieko iš to nėra. Įtraukite į priėmimo testą neprisijungusį įrenginį, nepavykusį pristatymą ir nurašytą turtą, ir grafikas bus paruoštas įjungti.