Uw VPN-certificaat verloopt vandaag: wat er werkelijk stopt

De verloopwaarschuwing gaat af, de tunnel voert nog verkeer, en niemand is het erover eens of de datum ertoe doet. Hij doet ertoe, maar niet altijd op het moment dat op het certificaat staat. Een verlopen certificaat stopt nieuwe authenticaties, en het stopt de hervalidaties die sommige implementaties binnen een langdurige sessie uitvoeren. Of uw bestaande tunnel om middernacht sterft, hangt af van het protocol, de client en de heronderhandelingsinstellingen van de server. Plan de verlenging voor de datum en verifieer die met een nieuwe aanmelding in plaats van met de sessie die al open was.

Zoek uit welk certificaat werkelijk verloopt

Een implementatie bevat een serverbladcertificaat, clientreferenties, een of meer tussenliggende certificaten en een vertrouwensanker, en ze verlopen niet samen. Lees het certificaat dat in de fout wordt genoemd en de keten waarmee het is aangeboden, niet het eerste bestand in de profielmap. Een serverbladcertificaat dat netjes wordt verlengd kan alsnog falen als het tussenliggende certificaat daarboven is verlopen. Noteer subject, uitgever, not-after en de implementatielocatie van elk bestand voordat u iets wijzigt.

Het vertrouwensanker is meestal het langstlevende object en de minst waarschijnlijke oorzaak.

Waarom een levende sessie de datum kan overleven

Authenticatie gebeurt bij het opzetten van de verbinding, en sommige protocollen controleren de identiteit later opnieuw. OpenVPN onderhandelt het datakanaal op een timer opnieuw, dus een heronderhandeling die een verlopen certificaat presenteert mislukt zelfs als de tunnel al uren draait. Implementaties die nooit hervalideren kunnen een gevestigde sessie voorbij de verloopdatum dragen, en daarom is «het werkt nog» geen bewijs. Geen van beide gedragingen is iets waarop u kunt plannen.

Behandel de datum als de deadline voor nieuwe aanmeldingen en de sessieduur als geleende tijd.

Controleer de klok voordat u het certificaat de schuld geeft

Geldigheid wordt tegen de lokale klok beoordeeld, dus een apparaat met de verkeerde tijd meldt een geldigheidsfout voor een certificaat dat volledig actueel is. Controleer de client, de server en elk apparaat op het pad.

Een klok die bij het opstarten wordt gereset verklaart storingen die pas na een stroomonderbreking verschijnen.

Verleng via de autoriteit die het heeft uitgegeven

Behoud de identiteit, het beoogde doel en een compatibele sleutelconfiguratie. Als de verlenging een nieuwe uitgever of een vastgezet certificaat introduceert, hebben clients een gecoördineerde vertrouwensupdate nodig in plaats van een bestandsvervanging op de server. Bescherm persoonlijke sleutels tijdens uitgifte en distributie, want een verlengd certificaat trekt een gecompromitteerde oude sleutel niet in. Een wachtwoordreset is geen verlenging, wat het ticket ook zegt.

Publiceer de nieuwe keten volledig, want een blad zonder zijn tussenliggende certificaat is een halve verlenging die alleen werkt op machines die het al in de cache hebben.

Bewijs het met een nieuwe aanmelding, houd een terugrol

Na de implementatie, breng een nieuwe toegestane verbinding tot stand vanaf een representatieve client en test de werkelijke toepassing. Controleer of de keten wordt geleverd zoals clients verwachten en of eventuele intrekkingsinformatie bereikbaar is. Houd een terugrol die niet afhankelijk is van vertrouwen in verlopen materiaal, zodat u terug kunt naar de vorige toestand zonder de verificatie te verzwakken. Verwijder de verouderde bestanden pas nadat de vervanging is geverifieerd.

Bestaande sessies kunnen nog een eerdere toestand weerspiegelen, dus ze bewijzen niets in welke richting dan ook.

De volgorde die ik op de dag gebruik

Bevestig het object dat verloopt en zijn keten, bevestig daarna de klokken:

• Welk certificaat verloopt, en tot welke keten het behoort.
• Of elk tussenliggend certificaat is uitgerold en gepubliceerd.
• De klokken van client en server komen binnen een redelijke marge overeen.
• Een nieuwe aanmelding slaagt vanaf een representatieve client.
• Intrekkingsinformatie is bereikbaar.
• Er bestaat een terugrol die de verificatie niet verzwakt.

Verleng daarna, rol de volledige keten uit, test met een nieuwe aanmelding en ruim pas daarna op. Geldigheidsperioden en de regels om ze te beoordelen zijn gedefinieerd in RFC 5280, en de datum is geen verrassing als uw monitoring het object volgde dat werkelijk verloopt.