Sijil VPN anda tamat tempoh hari ini: apa yang sebenarnya berhenti

Amaran tamat tempoh berbunyi, terowong masih melepaskan trafik, dan tiada siapa bersetuju sama ada tarikh itu penting. Ia penting, tetapi tidak selalu pada saat yang dicetak pada sijil. Sijil yang tamat tempoh menghentikan pengesahan baharu, dan ia menghentikan pengesahan semula yang dilakukan sesetengah pelaksanaan di dalam sesi panjang. Sama ada terowong sedia ada anda mati pada tengah malam bergantung pada protokol, klien dan tetapan rundingan semula pelayan. Rancang pembaharuan sebelum tarikh dan sahkan dengan log masuk baharu, bukan dengan sesi yang sudah terbuka.

Cari sijil mana yang sebenarnya tamat tempoh

Satu penggunaan mengandungi sijil daun pelayan, kelayakan klien, satu atau lebih sijil perantaraan dan sauh kepercayaan, dan semuanya tidak tamat serentak. Baca sijil yang dinamakan dalam ralat dan rantai yang dibentangkan bersamanya, bukan fail pertama dalam direktori profil. Sijil daun pelayan yang diperbaharui dengan bersih masih boleh gagal jika perantaraan di atasnya telah tamat tempoh. Catat subjek, pengeluar, not-after dan lokasi penggunaan setiap fail sebelum anda mengubah apa-apa.

Sauh kepercayaan biasanya objek paling lama hidup dan punca paling kurang berkemungkinan.

Mengapa sesi hidup boleh bertahan melepasi tarikh

Pengesahan berlaku semasa sambungan disediakan, dan sesetengah protokol menyemak semula identiti kemudian. OpenVPN merunding semula saluran data mengikut pemasa, jadi rundingan semula yang membentangkan sijil tamat tempoh gagal walaupun terowong telah aktif berjam-jam. Pelaksanaan yang tidak pernah mengesahkan semula boleh membawa sesi yang telah terbentuk melepasi tarikh tamat, dan sebab itulah «masih berfungsi» bukan bukti. Kedua-dua tingkah laku itu bukan sesuatu yang boleh dirancang.

Anggap tarikh itu sebagai tarikh akhir log masuk baharu, dan hayat sesi sebagai masa pinjaman.

Semak jam sebelum menyalahkan sijil

Kesahan dinilai terhadap jam tempatan, jadi peranti dengan masa yang salah melaporkan kegagalan kesahan untuk sijil yang sepenuhnya terkini. Semak klien, pelayan dan mana-mana peranti di laluan.

Jam yang ditetapkan semula semasa but menerangkan kegagalan yang muncul hanya selepas bekalan elektrik terputus.

Perbaharui melalui pihak berkuasa yang mengeluarkannya

Kekalkan identiti, tujuan yang dimaksudkan dan konfigurasi kunci yang serasi. Jika pembaharuan memperkenalkan pengeluar baharu atau sijil yang disematkan, klien memerlukan kemas kini kepercayaan yang diselaraskan dan bukannya pertukaran fail pada pelayan. Lindungi kunci peribadi semasa pengeluaran dan pengedaran, kerana sijil yang diperbaharui tidak membatalkan kunci lama yang telah dikompromi. Tetapan semula kata laluan bukan pembaharuan, apa pun kata tiket.

Terbitkan rantai baharu sepenuhnya, kerana daun tanpa perantaranya ialah separuh pembaharuan yang hanya berfungsi pada mesin yang telah menyimpannya dalam cache.

Buktikan dengan log masuk baharu, kekalkan laluan undur

Selepas penggunaan, wujudkan sambungan dibenarkan yang baharu daripada klien wakil dan uji aplikasi sebenar. Semak bahawa rantai dihantar seperti yang dijangka klien dan bahawa sebarang maklumat pembatalan boleh dicapai. Kekalkan laluan undur yang tidak bergantung pada mempercayai bahan tamat tempoh, supaya anda boleh kembali ke keadaan sebelumnya tanpa melemahkan pengesahan. Buang fail usang hanya selepas pengganti disahkan.

Sesi sedia ada mungkin masih mencerminkan keadaan terdahulu, jadi ia tidak membuktikan apa-apa ke arah mana pun.

Urutan yang saya gunakan pada hari itu

Sahkan objek yang tamat tempoh dan rantainya, kemudian sahkan jam:

• Sijil mana yang tamat tempoh, dan rantai mana ia tergolong.
• Sama ada setiap perantaraan digunakan dan diterbitkan.
• Jam klien dan pelayan bersetuju dalam margin yang munasabah.
• Log masuk baharu berjaya daripada klien wakil.
• Maklumat pembatalan boleh dicapai.
• Terdapat laluan undur yang tidak melemahkan pengesahan.

Kemudian perbaharui, gunakan rantai penuh, uji dengan log masuk baharu, dan hanya selepas itu bersihkan. Tempoh kesahan dan peraturan untuk menilainya ditakrifkan dalam RFC 5280, dan tarikh itu bukan kejutan jika pemantauan anda mengawasi objek yang benar-benar tamat tempoh.