OpenVPN sertifikātu atjaunošana: piegādājiet sertifikātu, nevis taimeri

Divi atjaunošanas projekti dizaina pārskatā izskatās vienādi un janvārī uzvedas pilnīgi atšķirīgi. Pirmais darbina taimeri, atkārtoti izsniedz sertifikātus un met failus koplietotā mapē. Otrais atjaunošanu uztver kā piegādes problēmu: kas jautā, kas pierāda tiesības, kā materiāls nonāk ierīcē un kas liek klientam to izmantot. Tikai otrais iztur bezsaistes klēpjdatoru, norakstītu aktīvu un klusi neizdevušos piegādi.

Salīdziniet abus projektus tur, kur tie patiešām atšķiras

Taimera projekts optimizē servera pusi. Ieplānots uzdevums izsauc CA, parādās jauns sertifikāts, un operators uzskata darbu par pabeigtu. Viss, kas notiek pēc izsniegšanas, ir kāda cita problēma, līdz ierīce nevar pieslēgties un derīguma termiņš izskaidro, kāpēc.

Darbplūsmas projekts optimizē pēdējo jūdzi. Tas pieņem, ka izsniegšana ir viens posms ķēdē un ka katrs nākamais solis var neizdoties neatkarīgi. Tas maksā vairāk būvēt un daudz mazāk uzturēt, jo kļūmes parādās kā izsekoti stāvokļi, nevis kā beigušies klienti.

Noderīgs veids, kā noturēt atšķirību acu priekšā, ir secība, kas katram projektam skaidri jānosauc.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Atklājiet logu no paša sertifikāta

Lasiet derīgumu no sertifikāta, ko klients patiešām uzrāda, nevis no datuma, kas iestrādāts nokopētā faila nosaukumā. Failu nosaukumi mainās, un fails, kurā rakstīts 2026, var saturēt apliecinājumu, kas beidzas martā.

Atstājiet logā rezervi lēnajiem gadījumiem: ierīces, kas nedēļām ilgi ir bezsaistē, apstiprinājumi, kam vajadzīgs cilvēks, un piegādes ceļi, kas vienreiz neizdodas, pirms sāk darboties. Taimeris, kas ziņo par panākumiem, pierāda tikai to, ka taimeris darbojās, ne vairāk.

Pilnvarojiet pieprasījumu, pirms kaut kas tiek izsniegts

Esošs sertifikāts var būt daļa no likumīga atjaunošanas mehānisma, bet tā subjekta teksts nav pilnvarošanas lēmums. Jautājums, uz kuru jāatbild, ir vai šim kontam un šai ierīcei joprojām ir tiesības uz identitāti flotē, un šī atbilde dzīvo jūsu aktīvu ierakstos, nevis sertifikātā.

Norakstīts klēpjdators, kura ieplānotais uzdevums vēl darbojas, nedrīkst saņemt jaunas tiesības. RFC 7030 ir vērts lasīt, jo tas atdala autentificētu pārreģistrāciju no servera puses pilnvarošanas un politikas; tas ir aizgūstams modelis, nevis apgalvojums, ka OpenVPN vai EasyRSA piegādā šo protokolu.

Piegāde, sagatavošana un aktivizēšana kā atsevišķi soļi

Izsniegšana saglabā identitāti, mērķi un izsniegšanas attiecības, un aizvietotājs, kas radīts ar jaunu atslēgu pāri, ir bezjēdzīgs, ja atbilstošā atslēga neceļo kopā ar to. Piegādājiet pāri pa kanālu, aiz kura ir piekļuves kontroles projekts, jo neuzminams URL ir slēpšana, nevis kontrole.

Sagatavošana ir vieta, kur lielākā daļa automatizācijas klusi lūzt. Importēts profils var atrasties vienā vietā, kamēr administrators atjaunina failu citur, un klients turpina uzrādīt veco sertifikātu, līdz kāds to pamana. Pierakstiet ceļu, ko klients lasa, kontu, kuram atļauts tajā rakstīt, un notikumu, kas izraisa atkārtotu ielādi. Pēc tam apstipriniet, ka aizvietotājs ir fails, kas patiešām tiek lietots, nevis kopija, kas ieradās tam blakus.

Pārbaude nozīmē jaunu autentifikāciju ar jauno materiālu un lietotājam vajadzīgās programmas pārbaudi. Jau izveidots tunelis joprojām var atspoguļot iepriekšējo apliecinājumu, tāpēc atvērts savienojums nav veiksmīgas atjaunošanas pierādījums.

Vispirms projektējiet nokavētā loga atgūšanu

Kad klēpjdators reģistrācijas pakalpojumu sasniedz tikai caur VPN, termiņa beigas rada cilpu: ierīcei vajag sertifikātu, lai iekļūtu tunelī, un tunelim – lai iegūtu sertifikātu. Izlemiet ārpusjoslas kārtību, pirms tiek nosūtīts pirmais ieplānotais uzdevums, vai tas būtu atsevišķs autentificēts reģistrācijas galapunkts vai administratora atbalstīta pārreģistrācija.

Ko vien izvēlaties, tam jāpārbauda pieprasītājs un pašreizējās tiesības. Konfigurēt serveri pieņemt beigušos sertifikātus no jebkura, kas jautā, nav atgūšanas ceļš, tas ir pastāvīga pārbaudes, ko aizstāvējāt ar pārējo projektu, vājināšana.

Visbeidzot, turiet atjaunošanu un kompromitēšanu atsevišķās procedūrās. Noplūdusi atslēga prasa atsaukšanu un atbildi uz aktīvajām sesijām, un derīguma termiņa pagarināšanā no tā nav nekā. Iekļaujiet pieņemšanas testā bezsaistes ierīci, neizdevušos piegādi un norakstītu aktīvu, un grafiks būs gatavs ieslēgšanai.