Váš certifikát VPN dnes vyprší: čo sa vlastne zastaví

Upozornenie na vypršanie sa spustí, tunel stále prenáša prevádzku a nikto sa nezhodne, či na dátume záleží. Záleží, ale nie vždy v okamihu vytlačenom na certifikáte. Vypršaný certifikát zastaví nové overenia a zastaví revalidácie, ktoré niektoré implementácie vykonávajú vnútri dlhej relácie. Či váš existujúci tunel o polnoci zomrie, závisí od protokolu, klienta a nastavení opätovného vyjednávania na serveri. Naplánujte obnovu pred dátumom a overte ju novým prihlásením, nie reláciou, ktorá už bola otvorená.

Zistite, ktorý certifikát skutočne vyprší

Nasadenie obsahuje serverový koncový certifikát, prihlasovacie údaje klienta, jeden alebo viac sprostredkujúcich certifikátov a koreň dôvery, a nevypršia spolu. Čítajte certifikát uvedený v chybe a reťazec, s ktorým bol predložený, nie prvý súbor v adresári profilu. Serverový koncový certifikát, ktorý sa čisto obnoví, môže stále zlyhať, ak sprostredkujúci certifikát nad ním vypršal. Pred akoukoľvek zmenou zapíšte subjekt, vydavateľa, not-after a umiestnenie nasadenia každého súboru.

Koreň dôvery je zvyčajne najdlhšie žijúci objekt a najmenej pravdepodobná príčina.

Prečo živá relácia môže prežiť dátum

Overenie prebieha pri nadviazaní spojenia a niektoré protokoly neskôr znova kontrolujú identitu. OpenVPN znova vyjednáva dátový kanál podľa časovača, takže opätovné vyjednanie predkladajúce vypršaný certifikát zlyhá, aj keď tunel beží hodiny. Implementácie, ktoré nikdy revalidáciu nevykonávajú, môžu niesť nadviazanú reláciu za dátum vypršania, a preto „stále to funguje“ nie je dôkaz. Ani jedno z týchto správaní sa nedá naplánovať.

Berte dátum ako lehotu pre nové prihlásenia a životnosť relácie ako požičaný čas.

Skontrolujte hodiny, skôr než obviníte certifikát

Platnosť sa vyhodnocuje voči miestnym hodinám, takže zariadenie s nesprávnym časom hlási zlyhanie platnosti pre úplne aktuálny certifikát. Skontrolujte klienta, server a akékoľvek zariadenie na ceste.

Hodiny, ktoré sa pri štarte resetujú, vysvetľujú poruchy, ktoré sa objavia až po výpadku napájania.

Obnovte prostredníctvom úradu, ktorý ho vydal

Zachovajte identitu, zamýšľaný účel a kompatibilnú konfiguráciu kľúča. Ak obnova zavádza nového vydavateľa alebo pripnutý certifikát, klienti potrebujú koordinovanú aktualizáciu dôvery, nie výmenu súboru na serveri. Chráňte súkromné kľúče počas vydávania a distribúcie, pretože obnovený certifikát nezruší kompromitovaný starý kľúč. Reset hesla nie je obnova, nech tiket hovorí čokoľvek.

Zverejnite nový reťazec úplne, pretože koncový certifikát bez sprostredkujúceho je polovičná obnova, ktorá funguje len na strojoch, ktoré ho už majú v cache.

Dokážte to novým prihlásením, ponechajte si možnosť návratu

Po nasadení nadviažte nové povolené spojenie z reprezentatívneho klienta a vyskúšajte skutočnú aplikáciu. Skontrolujte, či sa reťazec doručuje tak, ako klienti očakávajú, a či sú dostupné akékoľvek informácie o odvolaní. Ponechajte si návrat, ktorý nezávisí od dôvery vo vypršaný materiál, aby ste sa mohli vrátiť do predchádzajúceho stavu bez oslabenia overenia. Odstráňte zastarané súbory až po overení náhrady.

Existujúce relácie môžu stále odrážať skorší stav, takže nič nedokazujú ani jedným smerom.

Poradie, ktoré v ten deň používam

Potvrďte vypršujúci objekt a jeho reťazec, potom potvrďte hodiny:

• Ktorý certifikát vyprší a do ktorého reťazca patrí.
• Či je každý sprostredkujúci certifikát nasadený a zverejnený.
• Hodiny klienta a servera sa zhodujú v rozumnej miere.
• Nové prihlásenie uspeje z reprezentatívneho klienta.
• Informácia o odvolaní je dostupná.
• Existuje návrat, ktorý neoslabuje overenie.

Potom obnovte, nasaďte celý reťazec, otestujte novým prihlásením a až potom upracte. Doby platnosti a pravidlá ich vyhodnocovania sú definované v RFC 5280 a dátum nie je prekvapením, ak vaše monitorovanie sledovalo objekt, ktorý naozaj vyprší.