VPN-sertifikatet ditt går ut i dag: kva som faktisk stoppar

Utløpsvarselet slår til, tunnelen sender framleis trafikk, og ingen er samde om datoen har noko å seie. Han har det, men ikkje alltid på det tidspunktet som er trykt på sertifikatet. Eit utløpt sertifikat stoppar nye autentiseringar, og det stoppar revalideringane som nokre implementasjonar gjer inne i ein langvarig sesjon. Om den eksisterande tunnelen din døyr ved midnatt, kjem an på protokollen, klienten og innstillingane til tenaren for ny forhandling. Planlegg fornyinga før datoen og stadfest henne med ei ny innlogging i staden for med sesjonen som allereie var open.

Finn ut kva sertifikat som faktisk går ut

Ei utrulling inneheld eit tenarblad, klientlegitimasjon, eitt eller fleire mellomsertifikat og eit tillitsanker, og dei går ikkje ut saman. Les sertifikatet som er nemnt i feilen, og kjeda det vart presentert med, ikkje den første fila i profilmappa. Eit tenarblad som fornyast reint kan likevel feile om mellomsertifikatet over det er utløpt. Skriv ned subjekt, utferdar, not-after og utrullingsplassering for kvar fil før du endrar noko.

Tillitsankeret er vanlegvis det lengstlevande objektet og den minst sannsynlege årsaka.

Kvifor ein levande sesjon kan overleve datoen

Autentisering skjer ved oppsett av sambandet, og nokre protokollar sjekkar identiteten på nytt seinare. OpenVPN forhandlar datakanalen på nytt på ein timer, så ei ny forhandling som presenterer eit utløpt sertifikat feilar sjølv om tunnelen har vore oppe i timar. Implementasjonar som aldri revaliderer, kan bere ein etablert sesjon forbi utløpsdatoen, og difor er «det verkar framleis» ikkje prov. Ingen av dei to åtferdene er noko ein kan planleggje etter.

Handsam datoen som fristen for nye innloggingar, og levetida til sesjonen som lånt tid.

Kontroller klokka før du klandrar sertifikatet

Gyldigheit vert vurdert mot den lokale klokka, så ein eining med feil tid rapporterer ein gyldigheitsfeil for eit sertifikat som er heilt oppdatert. Kontroller klienten, tenaren og kvar eining i banen.

Ei klokke som nullstiller seg ved oppstart forklarer feil som først viser seg etter eit straumbrot.

Forny gjennom styresmakta som gav det ut

Hald på identiteten, det tiltenkte føremålet og ein kompatibel nøkkelkonfigurasjon. Om fornyinga innfører ein ny utferdar eller eit fest sertifikat, treng klientane ein koordinert tillitsoppdatering i staden for ein filutskifting på tenaren. Vern private nøklar under utferding og distribusjon, fordi eit fornya sertifikat ikkje kallar tilbake ein kompromittert gammal nøkkel. Ei tilbakestilling av passord er ikkje ei fornying, uansett kva saka seier.

Publiser den nye kjeda fullstendig, sidan eit blad utan mellomsertifikatet sitt er ei halv fornying som berre verkar på maskiner som allereie har det i hurtiglageret.

Prov det med ei ny innlogging, hald på ei tilbakerulling

Etter utrullinga, opprett eit nytt tillate samband frå ein representativ klient og prøv den faktiske applikasjonen. Kontroller at kjeda vert levert som klientane ventar, og at eventuell tilbakekallingsinformasjon er tilgjengeleg. Hald på ei tilbakerulling som ikkje er avhengig av å stole på utløpt materiale, slik at du kan gå tilbake til førre tilstand utan å svekkje verifiseringa. Fjern dei utdaterte filene først etter at erstatninga er verifisert.

Eksisterande sesjonar kan framleis spegle ein tidlegare tilstand, så dei provar ingenting i noka retning.

Rekkjefølgja eg brukar på dagen

Stadfest objektet som går ut og kjeda dets, og stadfest deretter klokkene:

• Kva sertifikat som går ut, og kva kjede det høyrer til.
• Om kvart mellomsertifikat er rulla ut og publisert.
• Klient- og tenarklokker stemmer overeins innan rimeleg margin.
• Ei ny innlogging lukkast frå ein representativ klient.
• Tilbakekallingsinformasjon er tilgjengeleg.
• Det finst ei tilbakerulling som ikkje svekkjer verifiseringa.

Deretter fornyar du, rullar ut heile kjeda, testar med ei ny innlogging og ryddar først etterpå. Gyldigheitsperiodar og reglane for å vurdere dei er definerte i RFC 5280, og datoen er ikkje overrasking om overvakinga di følgde objektet som faktisk går ut.