Шинэ VPN нэвтрэлтүүд гэрчилгээ хүчинтэй байхад бүтэлгүйтэж байна: CRL-ийг шалгана уу

Хэдэн сар үлдсэн гэрчилгээнүүд болон шууд бүтэлгүйтэж буй нэвтрэлтүүд нь хоёр өөр цаг дээрх хоёр өөр объектыг зааж байна. Сервер холболтыг татгалзаж байгаа шалтгаан нь түүний ханддаг хүчингүй болгосон гэрчилгээний жагсаалт өөрийн хугацаа дуусах өдрөөс хэтэрсэн байна, харин хэрэглэгчдийн гэрчилгээ хуучирсан учраас биш. Хэрэглэгчийн гэрчилгээг шинэчлэх нь тухайн жагсаалтад юу ч хийхгүй.

Хоёр хуваарийг салгах нь бүх оношлогоо бөгөөд энэ нь засварын хэлбэрийг өөрчилдөг.

Хоёр цаг, тэдгээрийн зөвхөн нэг нь гэрчилгээ

Гэрчилгээ нь хүчинтэй хугацааны цонхтой. Гэрчилгээ хүчингүй болгох жагсаалт нь өөрийн цонхыг, мөн гаргагч болон гарын үсгийг агуулна, шалгагчид дараагийн шинэчлэлийн цаг хэтэрсэн жагсаалтад итгэхээс татгалздаг. Ийм үед клиент бүрэн хүчинтэй гэрчилгээг үзүүлдэг ч сервер жагсаалтын тухай мессежтэй холболтыг тасладаг. Хэрэглэгчид энэ мессежийг “гэрчилгээний хугацаа дууссан” гэж уншдаг бөгөөд энэ нь шинэчлэх хүсэлтийг буруу газар илгээдэг.

Хоёр объект өөр өөр эзэнтэй: гэрчилгээ нь түүнийг гаргасан CA-аас ирдэг бол жагсаалтыг тухайн CA-г ажиллуулж буй хүн хуваарийн дагуу үүсгэдэг. Хэрэглэгч үүнийг шинэчилж чадахгүй, гэрчилгээг дахин гаргах нь ч үүнийг сунгаж чадахгүй.

Үйлчилгээний бодитоор ачаалж буй жагсаалтыг уншина уу

Таны хүлээж буй файлаас биш, ажиллаж буй тохиргооноос эхэл. crl-verify-ийн зам нь үнэмлэхүй, профайлтай харьцангуй эсвэл дүрсэнд шингээсэн хуулбар байж болох бөгөөд шалгагч тэр хуулбарыг уншдаг. Үүнийг байранд нь openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate ашиглан шалгаж, огноог серверийн цагтай харьцуул.

Дараа нь файл үнэхээр хэрэглэгдэж буй файл мөн эсэхийг баталгаажуул: түүний гарын үсгийг openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout ашиглан шалга, энэ нь талбаруудыг чимээгүй хэвлэхийн оронд шалгалтын үр дүнг мэдээлдэг. Өөр CA-аар гарын үсэг зурсан жагсаалт, эсвэл хоёр дахь хавтаст үлдсэн хуучирсан хуулбар нь хугацаа дууссан жагсаалт шиг яг адил бүтэлгүйтдэг.

Тэгээс биш, хүчингүй болгох өгөгдлийн сангаас дахин үүсгэнэ үү

Шинэ жагсаалт нь CA-ийн одоогийн хүчингүй болгох өгөгдлийн сангаас, зөвшөөрөгдсөн гарын үсэг зурах процесоор дамжин гарах ёстой. Хоосон жагсаалт үүсгэх, эсвэл индексийн хуучин нөөц хуулбараас дахин үүсгэх нь тэр нөөц хуулбараас хойш нэмэгдсэн аливаа таних тэмдгийн хүчингүй болгоосыг чимээгүй хүчингүй болгодог. Энэ нь нэвтрэлтийн тасалдлыг аюулгүй байдлын ухралт болгох бөгөөд шинж тэмдэг алга болдог учраас хэн ч анзаардаггүй.

Үүсгэх алхмыг CA-ийн бусад хэрэгслүүдийн хамт хувилбарын хяналтад байлга, ингэснээр интервал болон гарын үсэг зурах түлхүүр санаанд үлдэхийн оронд баримтлагдана. Команд, гарын үсэг зурагч, нийтлэх зорилгыг нэрлэсэн runbook-ийн бичлэг хангалттай. Тэгвэл жижүүрт байгаа хэн ч аль индекс файл эрх бүхий болохыг таамаглахгүйгээр дахин үүсгэж чадна. Жагсаалтын серийн дугаар болон дараагийн шинэчлэлийн цагийг байршуулалтын бүртгэлтэй хамт хадгал.

Шалгагчийн харж буй газарт байршуулна уу

Шинэ жагсаалтыг үйлчилгээний уншдаг зам руу хуулж, үйлчилгээний бүртгэл үүнийг уншиж чадах ч бусад нь чадахгүй байхаар эзэмшил, горимыг тохируулж, баримтлагдсан зан төлөвийн дагуу дахин ачаалж эсвэл дахин эхлүүл. Хэрэв демон эхлэх үед жагсаалтыг кэшэлдэг бол дахин ачаалахгүйгээр файлыг солих нь ажиллаж буй процесс анзаарах юуг ч өөрчлөхгүй. Дахин ачаалсны дараа процесс мэдээлсэн цагийн тэмдгийг баталгаажуул.

Хэд хэдэн үйлчилгээ клиентийг шалгадаг бол тус бүрт нь байршуул. Нэг төгсгөлийн цэгийг шинэчилж, нөгөөг нь хуучин хуулбартай үлдээх нь зөвхөн хоёр дахь цэгт хүрсэн хэрэглэгчдэд илрэх алдаа үүсгэдэг. Тэдгээр төгсгөлийн цэгийн богино жагсаалтыг мөн адил runbook-д хадгал. Байршуулсны дараа хуулбар ирсэн гэж үзэхийн оронд тус бүрийн мэдээлсэн жагсаалтын огноог шалга.

Дараагийн эцсийн хугацааг өнгөрөхөөс өмнө харагдахуйц болго

Илүү урт нийтлэлийн интервал нь процесс үүсгэхгүйгээр энэ тохиолдлын давтамжийг бууруулдаг. Интервалыг операторын бодлогоос сонгоод, дахин үүсгэх, байршуулахад хангалттай хугацаатайгаар байршуулсан жагсаалтын дараагийн шинэчлэлийн талбарт анхааруулга тавь. Анхааруулгыг байршуулсан хуулбарт тавь, CA хост руу биш, учир нь бүтэлгүйтдэг нь байршуулсан хуулбар юм.

Байршуулсны дараа хоёр чиглэлийг шалга: зөвшөөрөгдсөн хэрэглэгч холбогдож, мэдэгдэж буй хүчингүй болгосон таних тэмдэг хараахан бүтэлгүйтсээр байна. Хоёр дахь шалгалт нь дутуу дахин үүсгэлтийг барьдаг бөгөөд яг энэ зорилгоор хадгалж буй туршилтын профайл руу нэг команд шаарддаг.