Podaljševanje potrdil OpenVPN: dostavite potrdilo, ne časovnik

Dva načrta podaljšanja sta na pregledu načrta videti enaka in se januarja obnašata povsem drugače. Prvi zažene časovnik, znova izda potrdila in spusti datoteke v skupno mapo. Drugi obravnava podaljšanje kot problem dostave: kdo prosi, kaj dokazuje upravičenost, kako gradivo pride do naprave in kaj klienta pripravi, da ga uporabi. Samo drugi preživi brez povezave računalnik, izloženo sredstvo in dostavo, ki je tiho spodletela.

Primerjajte načrta tam, kjer se res razlikujeta

Načrt s časovnikom optimizira strežniško stran. Načrtovana naloga pokliče CA, pojavi se novo potrdilo in operater šteje delo za opravljeno. Vse, kar se zgodi po izdaji, je težava nekoga drugega, dokler se naprava ne more povezati in datum poteka ne pojasni, zakaj.

Načrt s potekom dela optimizira zadnjo miljo. Predpostavlja, da je izdaja en člen v verigi in da lahko vsak poznejši korak neodvisno spodleti. To stane več za gradnjo in veliko manj za upravljanje, ker se okvare pokažejo kot sledena stanja in ne kot potekli klienti.

Koristen način, da razliko obdržite na očeh, je zaporedje, ki ga mora vsak načrt izrecno imenovati.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Zaznajte okno iz samega potrdila

Berite veljavnost iz potrdila, ki ga klient dejansko predloži, ne iz datuma, vgrajenega v kopirano ime datoteke. Imena datotek se premikajo in datoteka, na kateri piše 2026, lahko vsebuje pooblastilo, ki poteče marca.

Pustite nekaj rezerve v oknu za počasne primere: naprave, ki so tedne brez povezave, odobritve, ki potrebujejo človeka, in poti dostave, ki enkrat spodletijo, preden delujejo. Časovnik, ki poroča o uspehu, dokazuje le, da je časovnik tekel, nič več.

Pooblastite zahtevo, preden se karkoli izda

Obstoječe potrdilo je lahko del zakonitega mehanizma podaljšanja, vendar njegovo besedilo subjekta ni odločitev o pooblastitvi. Vprašanje, na katero je treba odgovoriti, je, ali imata ta račun in ta naprava še vedno pravico do identitete v floti, in ta odgovor živi v vaših evidencah sredstev, ne v potrdilu.

Izložen prenosnik, katerega načrtovana naloga še teče, ne bi smel prejeti nove pravice. RFC 7030 je vredno brati tukaj, ker ločuje overjeno ponovno registracijo od pooblastitve in politike na strežniški strani; to je model za izposojo, ne trditev, da OpenVPN ali EasyRSA dobavljata ta protokol.

Dostava, priprava in aktivacija kot ločeni koraki

Izdaja ohranja identiteto, namen in razmerje izdaje, zamenjava, ustvarjena z novim parom ključev, pa je neuporabna, če ustrezen ključ ne potuje z njo. Dostavite par po kanalu, za katerim stoji načrt nadzora dostopa, ker je neugotovljiv URL prikrivanje in ne nadzor.

Priprava je mesto, kjer se večina avtomatizacije tiho zlomi. Uvožen profil lahko stoji na enem mestu, medtem ko skrbnik posodablja datoteko drugje, in klient še naprej predloži staro potrdilo, dokler nekdo tega ne opazi. Zapišite pot, ki jo klient bere, račun, ki sme vanjo pisati, in dogodek, ki sproži ponovno nalaganje. Nato potrdite, da je zamenjava datoteka, ki se dejansko uporablja, in ne kopija, ki je prispela ob njej.

Preverjanje pomeni svežo overitev z novim gradivom in pregled aplikacije, ki jo uporabnik potrebuje. Tunel, ki je že vzpostavljen, lahko še vedno odraža prejšnje pooblastilo, zato odprta povezava ni dokaz uspešnega podaljšanja.

Najprej oblikujte obnovitev zgrešenega okna

Ko prenosnik doseže storitev registracije le prek VPN, potek ustvari zanko: naprava potrebuje potrdilo, da vstopi v tunel, in tunel, da pridobi potrdilo. Odločite se o zunajpasovni ureditvi, preden prva načrtovana naloga odide, bodisi gre za ločeno overjeno registracijsko končno točko bodisi za ponovno registracijo s pomočjo skrbnika.

Karkoli izberete, mora preveriti prosilca in trenutno pravico. Nastaviti strežnik, da sprejema potekla potrdila od vsakogar, ki zaprosi, ni pot obnovitve, je trajno slabitev preverjanja, ki ste ga branili s preostankom načrta.

Nazadnje, držite podaljšanje in kompromitacijo v ločenih postopkih. Uhajanje ključa zahteva preklic in odziv na dejavne seje, podaljšanje datuma poteka pa ne vsebuje nič od tega. V sprejemni test vključite napravo brez povezave, neuspešno dostavo in izloženo sredstvo, in urnik je pripravljen za vklop.