Вашиот VPN сертификат истекува денес: што всушност запира

Предупредувањето за истекување се активира, тунелот сѐ уште пренесува сообраќај и никој не се согласува дали датумот е важен. Е важен, но не секогаш во моментот отпечатен на сертификатот. Истечен сертификат запира нови автентикации и ги запира повторните проверки што некои имплементации ги вршат внатре во долготрајна сесија. Дали вашиот постоечки тунел ќе умре на полноќ зависи од протоколот, клиентот и поставките за повторно преговарање на серверот. Планирајте го обновувањето пред датумот и проверете го со ново најавување, а не со сесијата што веќе била отворена.

Откријте кој сертификат всушност истекува

Распоредувањето содржи серверски листен сертификат, клиентски акредитиви, еден или повеќе посредни сертификати и сидро на доверба, и тие не истекуваат заедно. Читајте го сертификатот наведен во грешката и синџирот со кој бил претставен, а не првата датотека во директориумот на профилот. Серверски листен сертификат што чисто се обновува сепак може да не успее ако посредниот над него истекол. Пред да промените нешто, запишете го субјектот, издавачот, not-after и локацијата на распоредување на секоја датотека.

Сидрото на доверба обично е најдолговечниот објект и најмалку веројатната причина.

Зошто жива сесија може да го надживее датумот

Автентикацијата се случува при воспоставување на врската, а некои протоколи подоцна повторно го проверуваат идентитетот. OpenVPN повторно преговара за каналот за податоци на тајмер, па повторното преговарање што претставува истечен сертификат не успева дури и ако тунелот е активен со часови. Имплементациите што никогаш не проверуваат повторно можат да ја носат воспоставената сесија надвор од датумот на истекување, и затоа «сѐ уште работи» не е доказ. Ниту едно од двете однесувања не е нешто околу што може да се планира.

Третирајте го датумот како краен рок за нови најавувања, а животниот век на сесијата како позајмено време.

Проверете го часовникот пред да го обвините сертификатот

Важноста се оценува спрема локалниот часовник, па уред со погрешно време пријавува неисправност на важноста за сертификат што е сосема актуелен. Проверете го клиентот, серверот и секој уред на патот.

Часовник што се ресетира при подигање објаснува дефекти што се појавуваат само по прекин на струја.

Обновете преку органот што го издал

Задржете го идентитетот, предвидената намена и компатибилната конфигурација на клучот. Ако обновувањето воведува нов издавач или закачен сертификат, на клиентите им треба координирано ажурирање на довербата, а не замена на датотека на серверот. Заштитете ги приватните клучеви при издавање и дистрибуција, бидејќи обновениот сертификат не го отповикува компромитираниот стар клуч. Ресетирањето лозинка не е обновување, што и да вели тикетот.

Објавете го новиот синџир целосно, бидејќи лист без својот посреден е половина обновување што работи само на машини што веќе го имаат во кешот.

Докажете го со ново најавување, задржете можност за враќање

По распоредувањето, воспоставете нова дозволена врска од репрезентативен клиент и испробајте ја вистинската апликација. Проверете дали синџирот се доставува како што клиентите очекуваат и дали информациите за отповикување се достапни. Задржете враќање што не зависи од доверба во истечен материјал, за да можете да се вратите во претходната состојба без да ја ослабнете проверката. Отстранете ги старите датотеки само откако замената е проверена.

Постоечките сесии може сѐ уште да одразуваат поранешна состојба, па не докажуваат ништо во ниту една насока.

Редоследот што го користам тој ден

Потврдете го објектот што истекува и неговиот синџир, потоа потврдете ги часовниците:

• Кој сертификат истекува и на кој синџир му припаѓа.
• Дали секој посреден сертификат е распореден и објавен.
• Часовниците на клиентот и серверот се совпаѓаат во разумна граница.
• Ново најавување успева од репрезентативен клиент.
• Информациите за отповикување се достапни.
• Постои враќање што не ја ослабува проверката.

Потоа обновете, распоредете го целиот синџир, тестирајте со ново најавување и дури потоа исчистете. Периодите на важност и правилата за нивно оценување се дефинирани во RFC 5280, и датумот не е изненадување ако вашето следење го набљудувало објектот што навистина истекува.