Jūsų VPN sertifikatas baigia galioti šiandien: kas iš tikrųjų sustoja

Įspėjimas apie galiojimo pabaigą suveikia, tunelis vis dar praleidžia srautą, ir niekas nesutaria, ar data svarbi. Svarbi, bet ne visada tą akimirką, kuri atspausdinta ant sertifikato. Pasibaigęs sertifikatas sustabdo naujus autentifikavimus ir sustabdo pakartotinius patikrinimus, kuriuos kai kurios implementacijos atlieka ilgos sesijos viduje. Ar jūsų esamas tunelis mirs vidurnaktį, priklauso nuo protokolo, kliento ir serverio pakartotinio derėjimosi nustatymų. Suplanuokite atnaujinimą prieš datą ir patikrinkite jį nauju prisijungimu, o ne jau atidaryta sesija.

Išsiaiškinkite, kuris sertifikatas iš tikrųjų baigia galioti

Diegimas turi serverio lapo sertifikatą, kliento kredencialus, vieną ar daugiau tarpinių sertifikatų ir pasitikėjimo inkarą, ir jie nesibaigia kartu. Skaitykite klaidje nurodytą sertifikatą ir grandinę, su kuria jis buvo pateiktas, o ne pirmą failą profilio kataloge. Serverio lapo sertifikatas, kuris švariai atnaujinamas, vis tiek gali nepavykti, jei virš jo esantis tarpinis sertifikatas pasibaigė. Prieš ką nors keisdami, užsirašykite kiekvieno failo subjektą, išdavėją, not-after ir diegimo vietą.

Pasitikėjimo inkaras paprastai yra ilgiausiai gyvuojantis objektas ir mažiausiai tikėtina priežastis.

Kodėl gyva sesija gali pergyventi datą

Autentifikavimas vyksta nustatant ryšį, o kai kurie protokolai vėliau dar kartą tikrina tapatybę. OpenVPN iš naujo derasi dėl duomenų kanalo pagal laikmatį, todėl iš naujo derantis su pasibaigusiu sertifikatu nepavyksta, net jei tunelis veikia jau valandas. Implementacijos, kurios niekada netikrina iš naujo, gali nešti nusistovėjusią sesiją už galiojimo datos, todėl «vis dar veikia» nėra įrodymas. Nė vieno iš šių elgesių negalima planuoti.

Laikykite datą naujų prisijungimų terminu, o sesijos trukmę – pasiskolintu laiku.

Patikrinkite laikrodį prieš kaltindami sertifikatą

Galiojimas vertinamas pagal vietinį laikrodį, todėl įrenginys su neteisingu laiku praneša apie galiojimo klaidą visiškai aktualiam sertifikatui. Patikrinkite klientą, serverį ir bet kurį įrenginį kelyje.

Laikrodis, kuris atsistato įjungus, paaiškina gedimus, pasireiškiančius tik po elektros tiekimo nutraukimo.

Atnaujinkite per tą instituciją, kuri jį išdavė

Išsaugokite tapatybę, numatytą paskirtį ir suderinamą raktų konfigūraciją. Jei atnaujinimas įveda naują išdavėją arba prisegtą sertifikatą, klientams reikia suderinto pasitikėjimo atnaujinimo, o ne serverio failo pakeitimo. Saugokite privačius raktus išdavimo ir platinimo metu, nes atnaujintas sertifikatas neatšaukia pažeisto seno rakto. Slaptažodžio atstatymas nėra atnaujinimas, ką bebūtų sakoma biliete.

Paskelbkite naują grandinę visiškai, nes lapas be savo tarpinio sertifikato yra pusė atnaujinimo, kuris veikia tik tose mašinose, kurios jį jau yra įsiminusios podėlyje.

Įrodykite tai nauju prisijungimu, palikite atsukimo galimybę

Po diegimo užmegzkite naują leistiną ryšį iš reprezentacinio kliento ir išbandykite tikrąją programą. Patikrinkite, ar grandinė perduodama taip, kaip klientai tikisi, ir ar bet kokia atšaukimo informacija pasiekiama. Palikite atsukimą, kuris nepriklauso nuo pasitikėjimo pasibaigusia medžiaga, kad galėtumėte grįžti į ankstesnę būseną nesilpnindami patikrinimo. Pašalinkite pasenusius failus tik patikrinę pakaitalą.

Esamos sesijos vis dar gali atspindėti ankstesnę būseną, todėl nieko neįrodo nė viena kryptimi.

Tvarka, kurią naudoju tą dieną

Patvirtinkite pasibaigiantį objektą ir jo grandinę, tada patvirtinkite laikrodžius:

• Kuris sertifikatas baigia galioti ir kuriai grandinei priklauso.
• Ar kiekvienas tarpinis sertifikatas įdiegtas ir paskelbtas.
• Kliento ir serverio laikrodžiai sutampa protingomis ribomis.
• Naujas prisijungimas pavyksta iš reprezentacinio kliento.
• Atšaukimo informacija pasiekiama.
• Yra atsukimas, kuris nesilpnina patikrinimo.

Tada atnaujinkite, įdiekite visą grandinę, išbandykite nauju prisijungimu ir tik po to tvarkykite. Galiojimo laikotarpiai ir jų vertinimo taisyklės apibrėžtos RFC 5280, o data nebus staigmena, jei jūsų stebėsena stebėjo objektą, kuris tikrai baigia galioti.