Jūsu VPN sertifikāts šodien beidzas: kas patiešām apstājas

Beigu brīdinājums ieslēdzas, tunelis joprojām laiž cauri datplūsmu, un neviens nepiekrīt, vai datumam ir nozīme. Ir gan, bet ne vienmēr tajā mirklī, kas uzdrukāts uz sertifikāta. Beidzies sertifikāts aptur jaunas autentifikācijas un aptur atkārtotās pārbaudes, ko dažas implementācijas veic ilgstošas sesijas ietvaros. Vai jūsu esošais tunelis mirs pusnaktī, atkarīgs no protokola, klienta un servera atkārtotas vienošanās iestatījumiem. Plānojiet atjaunošanu pirms datuma un pārbaudiet to ar jaunu pieteikšanos, nevis ar jau atvērtu sesiju.

Noskaidrojiet, kurš sertifikāts patiešām beidzas

Izvietojums satur servera lapas sertifikātu, klienta akreditācijas datus, vienu vai vairākus starpposma sertifikātus un uzticības enkuru, un tie nebeidzas kopā. Lasiet kļūdā nosaukto sertifikātu un ķēdi, ar kuru tas tika uzrādīts, nevis pirmo failu profila direktorijā. Servera lapas sertifikāts, kas tīri atjaunojas, tomēr var neizdoties, ja starpposma sertifikāts virs tā ir beidzies. Pirms kaut ko maināt, pierakstiet katra faila subjektu, izdevēju, not-after un izvietošanas vietu.

Uzticības enkurs parasti ir visilgāk dzīvojošais objekts un vismazāk ticamais cēlonis.

Kāpēc dzīva sesija var pārdzīvot datumu

Autentifikācija notiek savienojuma izveides laikā, un daži protokoli vēlāk vēlreiz pārbauda identitāti. OpenVPN atkārtoti vienojas par datu kanālu pēc taimera, tāpēc atkārtota vienošanās, kas uzrāda beigušos sertifikātu, neizdodas, pat ja tunelis darbojas jau stundas. Implementācijas, kas nekad nepārbauda atkārtoti, var nest izveidoto sesiju pāri beigu datumam, un tāpēc «tas joprojām darbojas» nav pierādījums. Neviens no abiem uzvedības veidiem nav kaut kas, ko var plānot.

Uztveriet datumu kā jaunu pieteikšanos termiņu un sesijas mūžu kā aizņemtu laiku.

Pārbaudiet pulksteni, pirms vainojat sertifikātu

Derīgums tiek novērtēts pret vietējo pulksteni, tāpēc ierīce ar nepareizu laiku ziņo par derīguma kļūdu pilnīgi aktuālam sertifikātam. Pārbaudiet klientu, serveri un jebkuru ierīci ceļā.

Pulkstenis, kas atiestatās palaidē, izskaidro kļūmes, kas parādās tikai pēc strāvas padeves pārtraukuma.

Atjaunojiet caur iestādi, kas to izdevusi

Saglabājiet identitāti, paredzēto mērķi un saderīgu atslēgas konfigurāciju. Ja atjaunošana ievieš jaunu izdevēju vai piespraustu sertifikātu, klientiem vajadzīgs saskaņots uzticības atjauninājums, nevis servera faila nomaiņa. Aizsargājiet privātās atslēgas izdošanas un izplatīšanas laikā, jo atjaunots sertifikāts neatceļ kompromitētu veco atslēgu. Paroles atiestatīšana nav atjaunošana, ko vien saka biļete.

Publicējiet jauno ķēdi pilnībā, jo lapa bez sava starpposma sertifikāta ir puse atjauninājuma, kas darbojas tikai mašīnās, kuras to jau glabā kešatmiņā.

Pierādiet to ar jaunu pieteikšanos, saglabājiet atritināšanas iespēju

Pēc izvietošanas izveidojiet jaunu atļautu savienojumu no reprezentatīva klienta un izmēģiniet faktisko lietojumprogrammu. Pārbaudiet, vai ķēde tiek piegādāta tā, kā klienti sagaida, un vai jebkura atsaukšanas informācija ir sasniedzama. Saglabājiet atritināšanu, kas nav atkarīga no uzticēšanās beigušam materiālam, lai varētu atgriezties iepriekšējā stāvoklī, nevājinot pārbaudi. Noņemiet novecojušos failus tikai pēc tam, kad aizvietotājs ir pārbaudīts.

Esošās sesijas joprojām var atspoguļot agrāku stāvokli, tāpēc tās neko nepierāda nevienā virzienā.

Secība, ko izmantoju tajā dienā

Apstipriniet beidzošo objektu un tā ķēdi, pēc tam apstipriniet pulksteņus:

• Kurš sertifikāts beidzas un kurai ķēdei tas pieder.
• Vai katrs starpposma sertifikāts ir izvietots un publicēts.
• Klienta un servera pulksteņi sakrīt saprātīgā robežā.
• Jauna pieteikšanās izdodas no reprezentatīva klienta.
• Atsaukšanas informācija ir sasniedzama.
• Pastāv atritināšana, kas nevājina pārbaudi.

Pēc tam atjaunojiet, izvietojiet pilnu ķēdi, pārbaudiet ar jaunu pieteikšanos un tikai tad sakārtojiet. Derīguma periodi un to novērtēšanas noteikumi ir definēti RFC 5280, un datums nav pārsteigums, ja jūsu uzraudzība vēroja objektu, kas patiešām beidzas.