Продление сертификатов OpenVPN: доставьте сертификат, а не таймер

Два проекта продления выглядят одинаково на обзоре проекта и ведут себя совершенно по-разному в январе. Первый запускает таймер, перевыпускает сертификаты и сваливает файлы в общую папку. Второй рассматривает продление как задачу доставки: кто просит, что доказывает право, как материал попадает на устройство и что заставляет клиента его использовать. Только второй выдерживает ноутбук без сети, списанный актив и доставку, которая тихо провалилась.

Сравните два проекта там, где они действительно различаются

Проект с таймером оптимизирует сторону сервера. Запланированная задача вызывает CA, появляется новый сертификат, и оператор считает работу выполненной. Всё, что происходит после выпуска, — чужая проблема, пока устройство не сможет подключиться и дата истечения не объяснит причину.

Проект с рабочим процессом оптимизирует последнюю милю. Он исходит из того, что выпуск — одно звено цепочки и что каждый следующий шаг может отказать независимо. Это дороже строить и гораздо дешевле эксплуатировать, потому что сбои проявляются как отслеживаемые состояния, а не как истёкшие клиенты.

Полезный способ удержать различие в поле зрения — последовательность, которую каждый проект должен назвать явно.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Определите окно по самому сертификату

Читайте срок действия из сертификата, который клиент действительно предъявляет, а не из даты, встроенной в скопированное имя файла. Имена файлов смещаются, и файл с надписью 2026 может содержать удостоверение, истекающее в марте.

Оставьте запас в окне для медленных случаев: устройства, которые неделями остаются без сети, согласования, которым нужен человек, и пути доставки, которые один раз отказывают, прежде чем заработать. Таймер, сообщающий об успехе, доказывает лишь то, что таймер работал, и ничего больше.

Авторизуйте запрос до того, как что-либо будет выпущено

Существующий сертификат может быть частью законного механизма продления, но текст его субъекта не является решением об авторизации. Вопрос, на который нужно ответить, — сохраняют ли эта учётная запись и это устройство право на идентичность во флоте, и этот ответ живёт в ваших записях об активах, а не в сертификате.

Списанный ноутбук, запланированная задача которого всё ещё работает, не должен получать новое право. RFC 7030 стоит прочитать здесь, потому что он отделяет аутентифицированную перерегистрацию от авторизации и политики на стороне сервера; это модель, которую можно позаимствовать, а не утверждение, что OpenVPN или EasyRSA поставляют этот протокол.

Доставка, подготовка и активация как отдельные шаги

Выпуск сохраняет идентичность, назначение и отношение выпуска, а замена, созданная с новой парой ключей, бесполезна, если соответствующий ключ не путешествует вместе с ней. Доставляйте пару по каналу, за которым стоит проект контроля доступа, потому что неугадываемый URL — это сокрытие, а не контроль.

Подготовка — это место, где большая часть автоматизации тихо ломается. Импортированный профиль может лежать в одном месте, пока администратор обновляет файл в другом, и клиент продолжает предъявлять старый сертификат, пока кто-нибудь не заметит. Запишите путь, который читает клиент, учётную запись, которой разрешено в него писать, и событие, которое запускает перезагрузку. Затем подтвердите, что замена — это файл, который действительно используется, а не копия, пришедшая рядом.

Проверка означает свежую аутентификацию с новым материалом и проверку приложения, которое нужно пользователю. Уже установленный туннель может всё ещё отражать прежнее удостоверение, поэтому открытое соединение не является доказательством успешного продления.

Сначала спроектируйте восстановление пропущенного окна

Когда ноутбук попадает в службу регистрации только через VPN, истечение срока создаёт петлю: устройству нужен сертификат, чтобы войти в туннель, а туннелю — чтобы получить сертификат. Решите вопрос с внешним каналом до отправки первой запланированной задачи, будь то отдельная аутентифицированная конечная точка регистрации или перерегистрация с помощью администратора.

Что бы вы ни выбрали, это должно проверять запрашивающего и текущее право. Настраивать сервер так, чтобы он принимал истёкшие сертификаты от любого, кто попросит, — это не путь восстановления, а постоянное ослабление проверки, которую вы защищали остальной частью проекта.

Наконец, держите продление и компрометацию в отдельных процедурах. Утёкший ключ требует отзыва и реакции на активные сеансы, а продление даты истечения не содержит ничего из этого. Включите в приёмочный тест устройство без сети, неудачную доставку и списанный актив, и график готов к включению.