Hyrjet e reja në VPN dështojnë ndërkohë që certifikatat janë të vlefshme: kontrolloni CRL

Certifikatat me muaj të mbetur dhe hyrjet që dështojnë menjëherë tregojnë për dy objekte të ndryshme me dy orë të ndryshme. Serveri po refuzon lidhjet sepse lista e certifikatave të revokuara që konsulton ka kaluar datën e saj të skadimit, jo sepse certifikatat e përdoruesve janë vjetëruar. Rinovimi i një certifikate përdoruesi nuk bën asgjë për atë listë.

Ndarja e dy orareve është e gjithë diagnoza dhe ndryshon atë që duhet të jetë zgjidhja.

Dy orë, dhe vetëm njëra prej tyre është certifikata

Një certifikatë mbart një dritare vlefshmërie. Një listë e revokimit të certifikatave mbart dritaren e vet, plus një lëshues dhe një nënshkrim, dhe verifikuesit refuzojnë t'i besojnë një liste, koha e përditësimit të ardhshëm të së cilës ka kaluar. Kur kjo ndodh, klienti paraqet një certifikatë krejtësisht të vlefshme dhe serveri përsëri e ndërpret lidhjen me një mesazh për listën. Përdoruesit e lexojnë atë mesazh si 'certifikata skadoi', gjë që e dërgon kërkesën për rinovim në vendin e gabuar.

Të dy objektet kanë edhe pronarë të ndryshëm: certifikata vjen nga CA që e lëshoi, ndërsa lista gjenerohet sipas një orari nga kushdo që operon atë CA. Një përdorues nuk mund ta rifreskojë atë dhe rilëshimi i certifikatave nuk mund ta zgjasë atë.

Lexoni listën që ngarkon në të vërtetë shërbimi

Filloni nga konfigurimi që po ekzekutohet, jo nga skedari që prisni. Rruga crl-verify mund të jetë absolute, relative ndaj profilit ose një kopje e ngulitur në një imazh, dhe verifikuesi lexon pikërisht atë kopje. Inspektojeni në vend me openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate dhe krahasoni datat me orën e serverit.

Pastaj konfirmoni që skedari është vërtet ai në përdorim: kontrolloni nënshkrimin e tij me openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout, i cili raporton një rezultat verifikimi në vend që t'i printojë fushat në heshtje. Një listë e nënshkruar nga një CA tjetër, ose një kopje e vjetër e lënë në një drejtori të dytë, dështon saktësisht si një e skaduar.

Rigjenerojeni nga baza e të dhënave e revokimeve, jo nga e para

Lista e re duhet të vijë nga baza aktuale e revokimeve e CA-së, përmes procesit të miratuar të nënshkrimit. Gjenerimi i një liste bosh, ose rigjenerimi nga një kopje rezervë e vjetër e indeksit, heshtazi çrevokon çdo identitet të shtuar që nga ajo kopje. Kjo e kthen një ndërprerje hyrjeje në një regres sigurie dhe askush nuk e vëren sepse simptomi zhduket.

Hapin e gjenerimit mbajeni në kontrollin e versionit së bashku me pjesën tjetër të mjeteve të CA-së, që intervali dhe çelësi i nënshkrimit të dokumentohen e jo të mbahen mend. Një zë në manualin operativ që përmend komandën, nënshkruesin dhe objektivin e publikimit është i mjaftueshëm. Kushdo në detyrë mund ta rigjenerojë më pas pa hamendësuar cili skedar indeksi është autoritativ. Numrin serial të listës dhe kohën e përditësimit të ardhshëm ruajini me regjistrin e vendosjes.

Vendoseni atje ku shikon verifikuesi

Kopjojeni listën e re në rrugën që lexon shërbimi, vendosni pronësinë dhe modën që llogaria e shërbimit ta lexojë por të tjerët jo, dhe ringarkojeni ose rinisni sipas sjelljes së dokumentuar. Nëse demoni e ruan listën në memorje në nisje, zëvendësimi i skedarit pa një ringarkim nuk ndryshon asgjë që procesi në punë do të vërente. Konfirmoni vulën kohore që raporton procesi pas ringarkimit.

Nëse disa shërbime verifikojnë klientët, vendoseni në secilin prej tyre. Përditësimi i një pike fundore dhe lënia e një tjetre me kopjen e vjetër prodhon një dështim që shfaqet vetëm për përdoruesit që përfundojnë në të dytën. Mbajini një listë të shkurtër të atyre pikave fundore në të njëjtin manual operativ. Pas shpërndarjes, kontrolloni datën e listës që raporton secila prej tyre, në vend që të supozoni se kopja mbërriti.

Bëjeni afatin e ardhshëm të dukshëm përpara se të kalojë

Një interval më i gjatë publikimi e ul shpeshtësinë e këtij incidenti pa krijuar një proces. Zgjidhni intervalin sipas politikës së operatorit, pastaj vendosni alarme në fushën e përditësimit të ardhshëm të listës së vendosur, me kohë të mjaftueshme për rigjenerim dhe vendosje. Alarmet vendosini në kopjen e vendosur, jo në hostin e CA-së, sepse kopja e vendosur është ajo që dështon.

Pas vendosjes, verifikoni të dy drejtimet: një përdorues i lejuar lidhet dhe një identitet i revokuar i njohur përsëri dështon. Kontrolli i dytë është ai që kap një rigjenerim të paplotë dhe kërkon një komandë kundër një profili testimi që e mbani pikërisht për këtë qëllim.