Vaše potrdilo VPN danes poteče: kaj se v resnici ustavi

Opozorilo o poteku se sproži, tunel še vedno prenaša promet in nihče se ne strinja, ali je datum pomemben. Je, a ne vedno v trenutku, natisnjenem na potrdilu. Poteklo potrdilo ustavi nove avtentikacije in ustavi ponovne validacije, ki jih nekatere izvedbe izvajajo znotraj dolge seje. Ali bo vaš obstoječi tunel umrl ob polnoči, je odvisno od protokola, odjemalca in nastavitev ponovnega dogovarjanja na strežniku. Načrtujte obnovitev pred datumom in jo preverite z novo prijavo, ne s sejo, ki je bila že odprta.

Ugotovite, katero potrdilo v resnici poteče

Namestitev vsebuje strežniško listno potrdilo, odjemalčeve poverilnice, eno ali več vmesnih potrdil in sidro zaupanja, in ne potečejo skupaj. Preberite potrdilo, navedeno v napaki, in verigo, s katero je bilo predstavljeno, ne prve datoteke v mapi profila. Strežniško listno potrdilo, ki se čisto obnovi, lahko še vedno ne uspe, če je vmesno potrdilo nad njim poteklo. Preden karkoli spremenite, zapišite subjekt, izdajatelja, not-after in mesto namestitve vsake datoteke.

Sidro zaupanja je običajno najdlje živeči objekt in najmanj verjeten vzrok.

Zakaj lahko živa seja preživi datum

Avtentikacija se zgodi ob vzpostavitvi povezave, nekatere protokole pa pozneje znova preverijo identiteto. OpenVPN znova dogovori podatkovni kanal po časovniku, zato ponovno dogovarjanje s poteklim potrdilom ne uspe, tudi če tunel deluje že ure. Izvedbe, ki nikoli ne revalidirajo, lahko nosijo vzpostavljeno sejo čez datum poteka, zato «še vedno deluje» ni dokaz. Nobenega od obeh vedenj ni mogoče načrtovati.

Datum obravnavajte kot rok za nove prijave, življenjsko dobo seje pa kot izposojeni čas.

Preverite uro, preden okrivite potrdilo

Veljavnost se ocenjuje glede na lokalno uro, zato naprava z napačnim časom poroča o napaki veljavnosti za popolnoma aktualno potrdilo. Preverite odjemalca, strežnik in vsako napravo na poti.

Ura, ki se ob zagonu ponastavi, pojasni okvare, ki se pojavijo šele po izpadu elektrike.

Obnovite prek organa, ki ga je izdal

Ohranite identiteto, predvideni namen in združljivo konfiguracijo ključa. Če obnovitev uvede novega izdajatelja ali pripeto potrdilo, odjemalci potrebujejo usklajeno posodobitev zaupanja, ne zamenjave datoteke na strežniku. Zaščitite zasebne ključe med izdajo in distribucijo, ker obnovljeno potrdilo ne prekliče kompromitiranega starega ključa. Ponastavitev gesla ni obnovitev, kar koli pravi zahtevek.

Objavite novo verigo v celoti, ker je list brez vmesnega potrdila polovična obnovitev, ki deluje le na napravah, ki so ga že shranile v predpomnilnik.

Dokažite z novo prijavo, ohranite možnost vrnitve

Po namestitvi vzpostavite novo dovoljeno povezavo z reprezentativnega odjemalca in preizkusite dejansko aplikacijo. Preverite, ali se veriga dostavlja tako, kot odjemalci pričakujejo, in ali je vsaka informacija o preklicu dosegljiva. Ohranite vrnitev, ki ni odvisna od zaupanja v poteklo gradivo, da se lahko vrnete v prejšnje stanje brez oslabitve preverjanja. Zastarele datoteke odstranite šele po preveritvi zamenjave.

Obstoječe seje lahko še vedno odražajo prejšnje stanje, zato ne dokažejo ničesar v nobeno smer.

Vrstni red, ki ga uporabljam tisti dan

Potrdite potekajoči objekt in njegovo verigo, nato potrdite ure:

• Katero potrdilo poteče in kateri verigi pripada.
• Ali je vsako vmesno potrdilo nameščeno in objavljeno.
• Ure odjemalca in strežnika se ujemata v razumnem razponu.
• Nova prijava uspe z reprezentativnega odjemalca.
• Informacija o preklicu je dosegljiva.
• Obstaja vrnitev, ki ne oslabi preverjanja.

Nato obnovite, namestite celotno verigo, preizkusite z novo prijavo in šele zatem počistite. Obdobja veljavnosti in pravila za njihovo ocenjevanje so opredeljena v RFC 5280, in datum ne bo presenečenje, če je vaše spremljanje opazovalo objekt, ki v resnici poteče.