Pembaharuan sijil OpenVPN: hantar sijilnya, bukan pemasa

Dua reka bentuk pembaharuan kelihatan sama dalam semakan reka bentuk dan berkelakuan sangat berbeza pada bulan Januari. Yang pertama menjalankan pemasa, mengeluarkan semula sijil dan melepaskan fail ke dalam folder dikongsi. Yang kedua menganggap pembaharuan sebagai masalah penghantaran: siapa yang meminta, apa yang membuktikan kelayakan, bagaimana bahan sampai ke peranti dan apa yang membuatkan klien menggunakannya. Hanya yang kedua bertahan menghadapi komputer riba luar talian, aset yang telah bersara dan penghantaran yang gagal secara senyap.

Bandingkan kedua-dua reka bentuk di tempat ia benar-benar berbeza

Reka bentuk pemasa mengoptimumkan bahagian pelayan. Tugas berjadual memanggil CA, sijil baharu muncul dan pengendali menganggap kerja itu selesai. Segala yang berlaku selepas pengeluaran ialah masalah orang lain, sehingga peranti gagal bersambung dan tarikh tamat menjelaskan sebabnya.

Reka bentuk aliran kerja mengoptimumkan batu terakhir. Ia menganggap pengeluaran ialah satu pautan dalam rantaian dan setiap langkah seterusnya boleh gagal secara bebas. Ia lebih mahal untuk dibina dan jauh lebih murah untuk dikendalikan, kerana kegagalan muncul sebagai keadaan yang dijejaki dan bukan sebagai klien yang tamat tempoh.

Cara berguna untuk mengekalkan perbezaan dalam pandangan ialah urutan yang mesti dinamakan secara jelas oleh setiap reka bentuk.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Kesan tetingkap itu daripada sijil itu sendiri

Baca kesahan daripada sijil yang benar-benar dikemukakan oleh klien, bukan daripada tarikh yang tertanam dalam nama fail yang disalin. Nama fail berubah, dan fail yang tertulis 2026 boleh menyimpan kelayakan yang tamat pada bulan Mac.

Tinggalkan ruang dalam tetingkap untuk kes lambat: peranti yang luar talian selama berminggu-minggu, kelulusan yang memerlukan seseorang dan laluan penghantaran yang gagal sekali sebelum berfungsi. Pemasa yang melaporkan kejayaan hanya membuktikan pemasa itu berjalan, tidak lebih.

Benarkan permintaan sebelum apa-apa dikeluarkan

Sijil sedia ada boleh menjadi sebahagian daripada mekanisme pembaharuan yang sah, tetapi teks subjeknya bukan keputusan kebenaran. Soalan yang perlu dijawab ialah sama ada akaun ini dan peranti ini masih berhak kepada identiti dalam armada, dan jawapan itu hidup dalam rekod aset anda, bukan dalam sijil.

Komputer riba yang telah bersara tetapi tugas berjadualnya masih berjalan tidak sepatutnya menerima hak baharu. RFC 7030 berbaloi dibaca di sini kerana ia memisahkan pendaftaran semula yang disahkan daripada kebenaran dan dasar di pihak pelayan; ia model untuk dipinjam, bukan dakwaan bahawa OpenVPN atau EasyRSA menyediakan protokol itu.

Penghantaran, penyediaan dan pengaktifan sebagai langkah berasingan

Pengeluaran mengekalkan identiti, tujuan dan hubungan pengeluaran, dan pengganti yang dijana dengan pasangan kunci baharu tidak berguna melainkan kunci yang sepadan bergerak bersamanya. Hantar pasangan itu melalui saluran yang mempunyai reka bentuk kawalan akses di belakangnya, kerana URL yang tidak boleh diteka ialah penyembunyian, bukan kawalan.

Penyediaan ialah tempat kebanyakan automasi rosak secara senyap. Profil yang diimport boleh berada di satu lokasi sementara pentadbir mengemas kini fail di tempat lain, dan klien terus mengemukakan sijil lama sehingga seseorang menyedarinya. Tulis laluan yang dibaca oleh klien, akaun yang dibenarkan menulis ke dalamnya dan peristiwa yang mencetuskan muat semula. Kemudian sahkan bahawa pengganti itu ialah fail yang benar-benar digunakan dan bukan salinan yang tiba di sebelahnya.

Pengesahan bermaksud pengesahan identiti baharu dengan bahan baharu dan pemeriksaan aplikasi yang diperlukan oleh pengguna. Terowong yang sudah terbentuk mungkin masih mencerminkan kelayakan sebelumnya, jadi sambungan terbuka bukan bukti pembaharuan yang berjaya.

Reka bentuk pemulihan tetingkap yang terlepas dahulu

Apabila komputer riba hanya mencapai perkhidmatan pendaftaran melalui VPN, tamat tempoh mencipta gelung: peranti memerlukan sijil untuk masuk ke terowong dan terowong untuk mengambil sijil. Putuskan susunan luar jalur sebelum tugas berjadual pertama keluar, sama ada titik akhir pendaftaran yang disahkan secara berasingan atau pendaftaran semula dengan bantuan pentadbir.

Apa pun yang anda pilih, ia mesti mengesahkan peminta dan hak semasa. Mengkonfigurasi pelayan untuk menerima sijil tamat tempoh daripada sesiapa yang meminta bukan laluan pemulihan, ia adalah pelemahan kekal pemeriksaan yang anda pertahankan dengan seluruh reka bentuk.

Akhir sekali, kekalkan pembaharuan dan kompromi dalam prosedur berasingan. Kunci yang bocor memerlukan pembatalan dan tindak balas terhadap sesi aktif, dan memanjangkan tarikh tamat tidak mengandungi apa-apa daripada itu. Sertakan peranti luar talian, penghantaran yang gagal dan aset yang bersara dalam ujian penerimaan, dan jadual itu sedia untuk diaktifkan.