Fornying av OpenVPN-sertifikat: lever sertifikatet, ikkje timeren

To fornyingsdesign ser identiske ut i ein designgjennomgang og oppfører seg heilt ulikt i januar. Det første køyrer ein timer, gjev ut sertifikat på nytt og slepp filer i ei delt mappe. Det andre handsamar fornying som eit leveringsproblem: kven som spør, kva som provar rett, korleis materialet når eininga og kva som får klienten til å bruke det. Berre det andre overlever ein fråkopla laptop, ei utfasa eining og ei levering som feila i stillheit.

Samanlikn dei to designa der dei faktisk er ulike

Timerdesignet optimaliserer serversida. Ei planlagd oppgåve kallar på CA-en, eit nytt sertifikat dukkar opp, og operatøren reknar jobben som gjord. Alt som skjer etter utgivinga er nokon andre sitt problem, heilt til ei eining ikkje får kopla til og utløpsdatoen forklarer kvifor.

Arbeidsflytdesignet optimaliserer den siste mila. Det føreset at utgiving er eitt ledd i ei kjede, og at kvart seinare trinn kan feile uavhengig. Det kostar meir å byggje og mykje mindre å drive, fordi feila viser seg som spora tilstandar i staden for som utløpte klientar.

Ein nyttig måte å halde skilnaden i syne på er rekkjefølgja kvart design må namngje eksplisitt.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Finn vindauget frå sertifikatet sjølv

Les gyldetida frå sertifikatet klienten faktisk legg fram, ikkje frå datoen som er bygd inn i eit kopiert filnamn. Filnamn driv, og ei fil som seier 2026 kan halde eit prov som går ut i mars.

Lat det vere slakk i vindauget for dei trege tilfella: einingar som er fråkopla i veker, godkjenningar som krev ein person, og leveringsvegar som feilar éin gong før dei verkar. Ein timer som rapporterer suksess provar berre at timeren køyrde, ikkje meir.

Autoriser førespurnaden før noko blir gjeve ut

Eit eksisterande sertifikat kan vere del av ein legitim fornyingsmekanisme, men subjektteksten er ikkje eit autorisasjonsvedtak. Spørsmålet som må svarast på er om denne kontoen og denne eininga framleis har rett til ein identitet i flåten, og svaret ligg i aktivaregistra dine, ikkje i sertifikatet.

Ein utfasa laptop som framleis køyrer den planlagde oppgåva si, bør ikkje få ein ny rett. RFC 7030 er verdt å lese her fordi det skil autentisert nyregistrering frå serverside-autorisasjon og -policy; det er ein modell å låne, ikkje ein påstand om at OpenVPN eller EasyRSA leverer den protokollen.

Levering, klargjering og aktivering som separate trinn

Utgiving bevarer identitet, føremål og utgivingsforhold, og ei erstatning generert med eit nytt nøkkelpar er ubrukeleg med mindre den samsvarande nøkkelen reiser med henne. Lever paret over ein kanal med eit tilgangskontroll-design bak, fordi ein ugjettande URL er tilsløring og ikkje kontroll.

Klargjering er der mesteparten av automatiseringa bryt saman i stillheit. Ein importert profil kan liggje på ein stad medan ein administrator oppdaterer ei fil ein annan stad, og klienten held fram med å leggje fram det gamle sertifikatet til nokon merkar det. Skriv ned stien klienten les, kontoen som har løyve til å skrive i han, og hendinga som utløyser ei ny innlasting. Stadfest deretter at erstatninga er fila som faktisk blir brukt, og ikkje ei kopi som kom ved sida av.

Verifisering tyder ei fersk autentisering med det nye materialet og ein sjekk av applikasjonen brukaren treng. Ein tunnel som allereie er etablert kan framleis spegle det førre provet, så ei open tilkopling er ikkje prov på ei vellukka fornying.

Design gjenopprettinga av det tapte vindauget først

Når ein laptop berre når registreringstenesta via VPN-en, skapar utløpet ei løkkje: eininga treng eit sertifikat for å kome inn i tunnelen og tunnelen for å hente sertifikatet. Avgjer utabandsordninga før den første planlagde oppgåva blir send ut, anten det er eit separat autentisert registreringsendepunkt eller nyregistrering med administratorhjelp.

Kva du enn vel, må det verifisere den som spør og den gjeldande retten. Å konfigurere serveren til å godta utløpte sertifikat frå kven som helst som spør er ikkje ein gjenopprettingsveg, det er ei varig svekking av kontrollen du forsvarte med resten av designet.

Til slutt, hald fornying og kompromittering i separate prosedyrar. Ein lekt nøkkel krev tilbakekalling og ein respons på aktive sesjonar, og å forlengje utløpsdatoen inneheld ingenting av det. Ta med ei fråkopla eining, ei mislukka levering og ei utfasa eining i akseptansetesten, og tidsplanen er klar til å aktiverast.