Tiġdid taċ-ċertifikati OpenVPN: ibgħat iċ-ċertifikat, mhux it-timer

Żewġ disinji ta' tiġdid jidhru identiċi f'reviżjoni tad-disinn u jġibu ruħhom b'mod kompletament differenti f'Jannar. L-ewwel wieħed idawwar timer, jerġa' joħroġ iċ-ċertifikati u jitfa' l-fajls f'folder maqsum. It-tieni wieħed jittratta t-tiġdid bħala problema ta' konsenja: min jitlob, x'jiprova l-eliġibilità, kif il-materjal jasal għall-apparat u x'iwassal lill-klijent biex jużah. It-tieni wieħed biss jiflaħ għal laptop offline, għal assi rtirat u għal konsenja li falliet bil-kwiet.

Qabbel iż-żewġ disinji fejn tassew differenti

Id-disinn bit-timer jottimizza n-naħa tas-server. Kompitu skedat isejjaħ lis-CA, jidher ċertifikat ġdid u l-operatur iqis ix-xogħol magħmul. Kull ma jiġri wara l-ħruġ hija problema ta' ħaddieħor, sakemm apparat ma jistax jikkonnettja u d-data tal-iskadenza tispjega għaliex.

Id-disinn tal-fluss tax-xogħol jottimizza l-aħħar mil. Jassumi li l-ħruġ huwa ħolqa waħda f'katina u li kull pass sussegwenti jista' jonqos b'mod indipendenti. Dan jiswa aktar biex jinbena u ħafna inqas biex jiġi operat, għax il-ħsarat jidhru bħala stati mmonitorjati u mhux bħala klijenti skaduti.

Mod utli biex iżżomm id-differenza fil-vista huwa s-sekwenza li kull disinn irid isemmi b'mod espliċitu.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Sib it-tieqa miċ-ċertifikat innifsu

Aqra l-validità miċ-ċertifikat li l-klijent tassew qed jippreżenta, mhux mid-data inkorporata f'isem ta' fajl ikkupjat. L-ismijiet tal-fajls jiżżerżqu, u fajl li jgħid 2026 jista' jżomm kredenzjali li tiskadi f'Marzu.

Ħalli spazju fit-tieqa għall-każijiet bil-mod: apparati li jkunu offline għal ġimgħat, approvazzjonijiet li jeħtieġu persuna u toroq ta' konsenja li jonqsu darba qabel ma jaħdmu. Timer li jirrapporta suċċess jipprova biss li t-timer ġera, xejn aktar.

Awtorizza t-talba qabel ma jinħareġ xejn

Ċertifikat eżistenti jista' jkun parti minn mekkaniżmu ta' tiġdid leġittimu, iżda t-test tas-suġġett tiegħu mhuwiex deċiżjoni ta' awtorizzazzjoni. Il-mistoqsija li trid tiġi mwieġba hija jekk dan il-kont u dan l-apparat għadhomx intitolati għal identità fil-flotta, u dik it-tweġiba tgħix fir-rekords tal-assi tiegħek, mhux fiċ-ċertifikat.

Laptop irtirat li l-kompitu skedat tiegħu għadu għaddej m'għandux jirċievi dritt ġdid. RFC 7030 jistħoqqlu qari hawn għax jifred ir-reġistrazzjoni mill-ġdid awtentikata mill-awtorizzazzjoni u l-politika tan-naħa tas-server; huwa mudell biex tissellef minnu, mhux pretensjoni li OpenVPN jew EasyRSA jfornu dak il-protokoll.

Konsenja, tħejjija u attivazzjoni bħala passi separati

Il-ħruġ iżomm l-identità, l-iskop u r-relazzjoni tal-ħruġ, u sostitut iġġenerat b'par ċavetta ġdid huwa għalxejn jekk iċ-ċavetta li taqbel ma tivvjaġġax miegħu. Ikkunsinna l-par fuq kanal li warajh hemm disinn ta' kontroll tal-aċċess, għax URL li ma jistax jiġi mbassar huwa ħabi u mhux kontroll.

It-tħejjija hija l-post fejn il-biċċa l-kbira tal-awtomatizzazzjoni tinkiser bil-kwiet. Profil importat jista' joqgħod f'post wieħed waqt li amministratur jaġġorna fajl band'oħra, u l-klijent ikompli jippreżenta ċ-ċertifikat antik sakemm xi ħadd jinduna. Ikteb il-mogħdija li jaqra l-klijent, il-kont li jista' jikteb fiha u l-avveniment li jqajjem tagħbija mill-ġdid. Imbagħad ikkonferma li s-sostitut huwa l-fajl li tassew qed jintuża u mhux kopja li waslet maġenbu.

Verifika tfisser awtentikazzjoni friska bil-materjal il-ġdid u verifika tal-applikazzjoni li l-utent jeħtieġ. Mina li diġà nbniet tista' għadha tirrifletti l-kredenzjali preċedenti, għalhekk konnessjoni miftuħa mhijiex prova ta' tiġdid b'suċċess.

Iddisinja l-irkupru tat-tieqa mitlufa l-ewwel

Meta laptop jasal għas-servizz tar-reġistrazzjoni biss permezz tal-VPN, l-iskadenza toħloq linja: l-apparat jeħtieġ ċertifikat biex jidħol fil-mina u l-mina biex iġġib iċ-ċertifikat. Iddeċiedi l-arranġament barra l-medda qabel ma joħroġ l-ewwel kompitu skedat, kemm jekk huwa punt tat-tarf awtentikat b'mod separat kif ukoll jekk hija reġistrazzjoni mill-ġdid bl-għajnuna tal-amministratur.

X'tagħżel, trid tivverifika min qed jitlob u d-dritt attwali. Li tikkonfigura s-server biex jaċċetta ċertifikati skaduti mingħand kulmin jitlob mhuwiex triq ta' rkupru, huwa dgħajjif permanenti tal-verifika li ddefendejt bil-bqija tad-disinn.

Fl-aħħar, żomm it-tiġdid u l-kompromess fi proċeduri separati. Ċavetta li nfiret teħtieġ revoka u risposta għas-sessjonijiet attivi, u l-estensjoni tad-data tal-iskadenza ma fiha xejn minn dan. Daħħal apparat offline, konsenja falluta u assi rtirat fil-prova tal-aċċettazzjoni, u l-iskeda tkun lesta biex tiġi attivata.