Nove prijave v VPN ne uspejo, čeprav so certifikati veljavni: preverite CRL

Certifikati z meseci veljavnosti in prijave, ki takoj ne uspejo, kažejo na dva različna predmeta z dvema različnima urama. Strežnik zavrača povezave, ker je seznam preklicanih certifikatov, ki ga upošteva, presegel svoj datum poteka, ne zato, ker bi certifikati uporabnikov prestali veljati. Podaljšanje uporabniškega certifikata za ta seznam ne naredi ničesar.

Ločevanje obeh urnikov je celotna diagnoza in spreminja, kakšna mora biti rešitev.

Dve uri in le ena od njiju je certifikat

Certifikat nosi obdobje veljavnosti. Seznam preklicanih certifikatov nosi lastno obdobje ter izdajatelja in podpis, preverjevalci pa zavrnejo zaupanje seznamu, katerega čas naslednje posodobitve je že minil. Ko se to zgodi, odjemalec predloži povsem veljaven certifikat, strežnik pa povezavo vseeno prekine s sporočilom o seznamu. Uporabniki to sporočilo berejo kot »certifikat je potekel«, kar pošlje zahtevo za podaljšanje na napačno mesto.

Predmeta imata tudi različna lastnika: certifikat prihaja od CA, ki ga je izdala, seznam pa po urniku ustvarja tisti, ki to CA upravlja. Uporabnik ga ne more osvežiti in ponovna izdaja certifikatov ga ne more podaljšati.

Preberite seznam, ki ga storitev dejansko naloži

Začnite pri delujoči konfiguraciji, ne pri datoteki, ki jo pričakujete. Pot crl-verify je lahko absolutna, relativna glede na profil ali kopija, vgrajena v sliko, in preverjevalec bere prav to kopijo. Preglejte jo na mestu s openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate in datume primerjajte z uro strežnika.

Nato potrdite, da je ta datoteka res tista v uporabi: preverite njen podpis z openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout, ki poroča o rezultatu preverjanja, namesto da tiho izpiše polja. Seznam, ki ga je podpisala druga CA, ali zastarela kopija, ostala v drugem imeniku, ne uspe natanko tako kot potekel.

Ustvarite znova iz zbirke preklicov, ne od začetka

Novi seznam mora priti iz trenutne zbirke preklicov CA, in sicer po odobrenem postopku podpisovanja. Ustvarjanje praznega seznama ali ponovno ustvarjanje iz stare varnostne kopije indeksa tiho razveljavi preklic vsake identitete, dodane po tej kopiji. To izpad prijave spremeni v varnostno regresijo in nihče tega ne opazi, ker simptom izgine.

Korak ustvarjanja hranite v sistemu za nadzor različic skupaj z ostalim orodjem CA, da sta interval in podpisni ključ dokumentirana, ne pa zapomnjena. Zadostuje vnos v obratovalnem priročniku, ki navaja ukaz, podpisnika in cilj objave. Kdor koli v pripravljenosti lahko nato seznam ustvari znova, ne da bi ugibal, katera indeksna datoteka je merodajna. Serijsko številko seznama in čas naslednje posodobitve shranite z zapisom o namestitvi.

Namestite tja, kamor gleda preverjevalec

Novi seznam kopirajte na pot, ki jo storitev bere, nastavite lastništvo in način, da ga lahko bere servisni račun, drugi pa ne, ter ga v skladu z dokumentiranim vedenjem znova naložite ali znova zaženite. Če demon seznam ob zagonu shrani v predpomnilnik, zamenjava datoteke brez ponovnega nalaganja ne spremeni ničesar, kar bi tekoči proces opazil. Potrdite časovni žig, ki ga proces sporoči po ponovnem nalaganju.

Če odjemalce preverja več storitev, seznam namestite na vsako od njih. Posodobitev ene končne točke in puščanje stare kopije na drugi povzroči napako, ki se pokaže le uporabnikom, ki pristanejo na drugi. Kratek seznam teh končnih točk hranite v istem obratovalnem priročniku. Po uvedbi preverite datum seznama, ki ga sporoča vsaka od njih, namesto da bi domnevali, da je kopija prispela.

Naslednji rok naredite viden, preden poteče

Daljši interval objave zmanjša pogostost tega dogodka, ne da bi ustvaril proces. Interval izberite iz pravilnika upravljavca, nato pa nastavite opozorila na polje naslednje posodobitve nameščenega seznama z dovolj zaloge časa za ponovno ustvarjanje in namestitev. Opozarjajte na nameščeno kopijo, ne na gostitelja CA, ker odpove prav nameščena kopija.

Po namestitvi preverite obe smeri: dovoljen uporabnik se poveže, znana preklicana identiteta pa še vedno ne uspe. Drugo preverjanje ujame nepopolno ponovno ustvarjanje in zahteva en ukaz proti testnemu profilu, ki ga hranite prav za ta namen.