O seu certificado VPN expira hoje: o que realmente para

O alerta de expiração dispara, o túnel continua a passar tráfego e ninguém concorda se a data importa. Importa, mas nem sempre no instante impresso no certificado. Um certificado expirado para novas autenticações, e para as revalidações que algumas implementações realizam dentro de uma sessão de longa duração. Se o túnel existente morre à meia-noite depende do protocolo, do cliente e das definições de renegociação do servidor. Planeie a renovação antes da data e verifique-a com um início de sessão novo em vez de com a sessão que já estava aberta.

Descubra qual certificado está realmente a expirar

Uma implementação contém um certificado folha do servidor, credenciais de cliente, um ou mais intermediários e uma âncora de confiança, e não expiram juntos. Leia o certificado nomeado no erro e a cadeia com que foi apresentado, não o primeiro ficheiro no diretório do perfil. Um folha do servidor que se renova de forma limpa pode ainda falhar se o intermediário acima tiver expirado. Anote o sujeito, o emissor, o not-after e a localização de implementação de cada ficheiro antes de alterar algo.

A âncora de confiança é normalmente o objeto mais duradouro e a causa menos provável.

Porque uma sessão viva pode sobreviver à data

A autenticação ocorre no estabelecimento da ligação, e alguns protocolos voltam a verificar a identidade mais tarde. OpenVPN renegocia o canal de dados com um temporizador, por isso uma renegociação que apresenta um certificado expirado falha mesmo que o túnel esteja ativo há horas. Implementações que nunca revalidam podem manter uma sessão estabelecida para além da data de expiração, e é por isso que «ainda funciona» não é prova. Nenhum dos dois comportamentos é algo com que se possa planear.

Trate a data como o prazo para novos inícios de sessão e a duração da sessão como tempo emprestado.

Verifique o relógio antes de culpar o certificado

A validade é avaliada contra o relógio local, por isso um dispositivo com a hora errada relata uma falha de validade para um certificado perfeitamente atual. Verifique o cliente, o servidor e qualquer equipamento no caminho.

Um relógio que se reinicia no arranque explica falhas que só aparecem depois de um corte de energia.

Renove através da autoridade que o emitiu

Mantenha a identidade, a finalidade pretendida e uma configuração de chave compatível. Se a renovação introduzir um novo emissor ou um certificado fixado, os clientes precisam de uma atualização de confiança coordenada em vez de uma troca de ficheiro no servidor. Proteja as chaves privadas durante a emissão e a distribuição, porque um certificado renovado não revoga uma chave antiga comprometida. Repor a palavra-passe não é renovar, diga o que disser o ticket.

Publique a nova cadeia por completo, porque um folha sem o seu intermediário é meia renovação que só funciona em máquinas que já a têm em cache.

Prove-o com um início de sessão novo, mantenha uma reversão

Após a implementação, estabeleça uma nova ligação permitida a partir de um cliente representativo e experimente a aplicação real. Verifique se a cadeia é entregue como os clientes esperam e se qualquer informação de revogação está acessível. Mantenha uma reversão que não dependa de confiar em material expirado, para poder voltar ao estado anterior sem enfraquecer a verificação. Remova os ficheiros obsoletos apenas depois de a substituição estar verificada.

As sessões existentes podem ainda refletir um estado anterior, por isso não provam nada em nenhum sentido.

A ordem que uso no dia

Confirme o objeto que expira e a sua cadeia, depois confirme os relógios:

• Qual certificado expira e a que cadeia pertence.
• Se cada intermediário está implementado e publicado.
• Os relógios do cliente e do servidor coincidem dentro de uma margem razoável.
• Um início de sessão novo tem sucesso a partir de um cliente representativo.
• A informação de revogação está acessível.
• Existe uma reversão que não enfraquece a verificação.

Depois renove, implemente a cadeia completa, teste com um início de sessão novo e só então limpe. Os períodos de validade e as regras para os avaliar estão definidos na RFC 5280, e a data não é uma surpresa se a sua monitorização vigiava o objeto que realmente expira.