VPN сертификатыг таних мэдээллийг нь өөрчлөхгүйгээр шинэчлэх

Таних тэмдэглэлийг өөрчилдөг сертификатын шинэчлэлт нь шинэчлэлт биш, харин засвар үйлчилгээний тасалбар өмссөн шилжилт юм. Үйлчлүүлэгч нэр, гинж, заримдаа тодорхой түлхүүрийг шалгадаг бөгөөд гурав нь ч дуусах огноо өөрчлөгдөхгүйгээр өөрчлөгдөж болно. Орлуулалт хүсэхээс өмнө үйлчлүүлэгч яг юуг шалгадгийг бичиж аваарай: хостын нэр эсвэл хамтрагчийн таних тэмдэглэл, сертификатын зорилго, түлхүүрийн бодлого, олгогчийн гинж. Шинэчлэлт нь орлуулалт эдгээрийн алийг нь өөрчлөхөөс хамаарч ердийн эсвэл зохицуулсан байдаг.

Гурван нөхцөл шинэчлэлтийн хэлбэрийг тодорхойлно

Гурван нөхцөл нь: ямар нэг зүйл навчийг бэхжүүлж байна уу, гинж өөрчлөгдөж байна уу, нэрийг өөр хэн баталгаажуулж байна вэ. Тэдэнд CA-ийн тав тухыг бус, үйлчлүүлэгчийн талаас хариул, учир нь шөнийн гурван цагт бүтэлгүйтдэг нь үйлчлүүлэгч.

Танд байгаа сертификатыг шалгаж эхэл. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName нь субъект, олгогч, хүчинтэй байх хугацаа, сертификат яг аль нэрсийн хувьд хүчинтэйг хэвлэнэ. Тэр сүүлийн талбар хамгийн чухал бөгөөд хамгийн их таамаглагддаг: үйлчлүүлэгчийн найдаж буй SAN-ыг орхигдуулсан шинэчлэлтийн хүсэлт нь техникийн хувьд хүчинтэй боловч үйл ажиллагааны хувьд буруу сертификат үүсгэдэг. Хуучин сертификатын SAN жагсаалтыг санах ойгоос дахин бичихийн оронд хүсэлт рүү хуулж бич.

Нэгдүгээр нөхцөл: ямар нэг зүйл навчийг бэхжүүлж байна уу

Үйлчлүүлэгчид засварлагдсан CA-д итгэж, нэрийг баталгаажуулдаг бол шинэ түлхүүртэй навчны шинэчлэлт тэдэнд үл үзэгдэх юм. Аль нэг үйлчлүүлэгч навчны сертификат, түүний хурууны хээ эсвэл нийтийн түлхүүрийг бэхжүүлдэг бол орлуулалт нь хатуу шилжилттэй зохицуулсан өөрчлөлт, учир нь хуучин бэхэлгээ шинэ сертификатыг баталгаажуулж чадахгүй.

Ямар нэгэн зүйл захиалахаас өмнө ямар тохиолдолд байгаагаа мэдэж аваарай. Хэн ч баримтжуулаагүй бэхэлгээ ч эвдрэх үед бэхэлгээ хэвээрээ.

Хоёрдугаар нөхцөл: бэхэлгээ болон гинжийг харьцуул

Хурууны хээ нь бэхэлгээг шалгах боломжтой болгодог: хуучин болон шинэ сертификат дээр openssl x509 -noout -fingerprint -sha256 -in server.crt, нийтийн түлхүүрүүдийг харьцуулахын тулд openssl x509 -noout -pubkey. Үйлчлүүлэгчийн тохиргоо, гар утасны профайл эсвэл төхөөрөмжийн итгэлийн санд эдгээрийн аль нэг утга байвал танд бэхэлгээ байна. Гар утасны VPN профайлууд бол нийтлэг нуух газар, учир нь профайл нэг удаа тараагдан дахин хэзээ ч шалгагддаггүй.

Хэрэв орлуулалт ижил завсрын сертификатаас ирж, үйлчлүүлэгч тэр завсрын сертификатыг аль хэдийн эзэмшиж байгаа эсвэл авч чаддаг бол итгэлийн талд юу ч өөрчлөгдөхгүй. Шинэ завсрын сертификат, өөр олгогч эсвэл буруу дараалалд хүргэгдсэн гинж нь шинэчлэлтийг итгэлийн өөрчлөлт болгож, алдаа нь хугацаа дууссан сертификат биш, танигдаагүй олгогч мэт харагдана.

Сервер яг илгээдэг гинжийг openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts ашиглан шалга, мөн openssl verify -CAfile ca.pem -untrusted chain.pem server.crt ашиглан локалаар баталгаажуул. Өөрчлөлтийн өмнө үүнийг хийх нь дараа харьцуулах суурь шугам болно.

Гуравдугаар нөхцөл: нэрийг өөр хэн баталгаажуулж байна вэ

VPN концентратор, ачааллын тэнцвэржүүлэгч, хяналтын проб, RADIUS эсвэл SAML интеграц, гар утасны профайл тус бүр хүлээгдэж буй нэр эсвэл итгэлийн зангууны өөрийн хуулбарыг хадгалж болно. Шинэчлэлт нь тэдгээр хуулбар салж буй мөч, учир нь сертификат өөрчлөгдөж, хуулбар нь өөрчлөгдөхгүй.

Өөрчлөлтийн өмнө хэрэглэгч бүрийг жагсааж, тус бүрд шинэчлэлт хэрэгтэй эсэхийг шийд. Мартах нь чамайг дуудах хүн.

Цагийн урхи бас бий. Дуусахын зэрэгцээ хүчинтэй байх эхлэлийг шалга, учир нь дараа идэвхжүүлэхээр бэлтгэсэн сертификатыг хэт эрт суулгавал татгалздаг бөгөөд алдаа нь бэлтгэлийн асуудал мэт бус, цагны асуудал мэт харагдана. Шинэ файл дээр openssl x509 -noout -dates байршуулахаас өмнөх хоёр секундын шалгалт. Дэмжигдсэн сэргээх зам болон мэдэгдэж буй сайн тохиргоог ч хадгал, ингэснээр буруу явсан шинэчлэлтийг өмнөх сертификат, түлхүүрийг сэргээж буцаах боломжтой.

Байршуул, шинэ баталгаажуулалтаар шалга, дараа нь гарга

Тогтсон туннель нь баригдсан үед болсон баталгаажуулалтыг илэрхийлдэг тул шинэ холболт бүр бүтэлгүйтэж байхад ч эрүүл харагдаж болно. Үйлчлүүлэгчдийн ашигладаг бодит үйлчилгээний нэрээр шинэ баталгаажуулалтаар турш.

Хэрэглэгчид чухал аппликейшн түвшний шалгалтыг гүйцээж, гинжийн хүргэлтийг серверийн бус, үйлчлүүлэгчийн өнцгөөс баталгаажуул. Шилжилтийг тайван байлгахын тулд нэр эсвэл сертификатын шалгалтыг дарах хэрэггүй; энэ нь түр зуурын нийцлийн асуудлыг байнгын болгоно.

Хуучирсан материалыг байршуулалт баталгаажсаны дараа л гаргаж, эвдэрсэн түлхүүрийг огт өөр тохиолдол гэж үз: шинэчлэлт дангаараа юу ч хүчингүй болгодоггүй тул хохирсон таних тэмдэглэлд байршуулалтын хүчингүй болгох, сессийн удирдлагын процесс хэрэгтэй. RFC 5280 нь энэ бүхний доорх сертификат болон зам баталгаажуулалтын дүрмийг тодорхойлдог. Ердийн навчны шинэчлэлтийг CA-ийн орлуулалтаас тусад нь барь, ингэснээр үйлчлүүлэгчдээс шалтгаангүйгээр шинэ олгогчид итгэхийг шаардахгүй.