Ditt VPN-certifikat går ut i dag: vad som faktiskt stoppas

Utgångsvarningen utlöses, tunneln passerar fortfarande trafik och ingen är överens om datumet spelar roll. Det gör det, men inte alltid i det ögonblick som är tryckt på certifikatet. Ett utgånget certifikat stoppar nya autentiseringar, och det stoppar de omvalideringar som vissa implementationer utför inne i en långvarig session. Om din befintliga tunnel dör vid midnatt beror på protokollet, klienten och serverns inställningar för omförhandling. Planera förnyelsen före datumet och verifiera den med en ny inloggning i stället för med sessionen som redan var uppe.

Ta reda på vilket certifikat som faktiskt går ut

En utrullning innehåller ett serverlöv, klientuppgifter, ett eller flera mellanliggande certifikat och ett förtroendeankare, och de går inte ut tillsammans. Läs certifikatet som nämns i felet och kedjan som det presenterades med, inte den första filen i profilmappen. Ett serverlöv som förnyas rent kan ändå misslyckas om det mellanliggande certifikatet ovanför har gått ut. Skriv ner subjekt, utfärdare, not-after och utrullningsplats för varje fil innan du ändrar något.

Förtroendeankaret är vanligtvis det längstlevande objektet och den minst sannolika orsaken.

Varför en levande session kan överleva datumet

Autentisering sker vid anslutningsuppbyggnad, och vissa protokoll kontrollerar identiteten igen senare. OpenVPN omförhandlar datakanalen på en timer, så en omförhandling som presenterar ett utgånget certifikat misslyckas även om tunneln har varit uppe i timmar. Implementationer som aldrig omvaliderar kan bära en etablerad session förbi utgångsdatumet, och därför är «det fungerar fortfarande» inget bevis. Ingen av de två beteendena är något man kan planera efter.

Behandla datumet som tidsfristen för nya inloggningar och sessionens livslängd som lånad tid.

Kontrollera klockan innan du skyller på certifikatet

Giltighet bedöms mot den lokala klockan, så en enhet med fel tid rapporterar ett giltighetsfel för ett certifikat som är helt aktuellt. Kontrollera klienten, servern och alla enheter på vägen.

En klocka som nollställs vid uppstart förklarar fel som bara dyker upp efter ett strömavbrott.

Förnya genom den myndighet som utfärdade det

Behåll identiteten, det avsedda syftet och en kompatibel nyckelkonfiguration. Om förnyelsen inför en ny utfärdare eller ett fäst certifikat behöver klienterna en samordnad förtroendeuppdatering i stället för ett filbyte på servern. Skydda privata nycklar under utfärdande och distribution, eftersom ett förnyat certifikat inte återkallar en komprometterad gammal nyckel. En återställning av lösenordet är ingen förnyelse, vad ärendet än säger.

Publicera den nya kedjan helt, eftersom ett löv utan sitt mellanliggande certifikat är en halv förnyelse som bara fungerar på maskiner som redan har det i cachen.

Bevisa det med en ny inloggning, behåll en återrullning

Efter utrullningen, upprätta en ny tillåten anslutning från en representativ klient och prova den faktiska applikationen. Kontrollera att kedjan levereras som klienterna förväntar sig och att eventuell återkallningsinformation är nåbar. Behåll en återrullning som inte bygger på att lita på utgånget material, så att du kan återgå till föregående tillstånd utan att försvaga verifieringen. Ta bort de föråldrade filerna först efter att ersättningen är verifierad.

Befintliga sessioner kan fortfarande spegla ett tidigare tillstånd, så de bevisar ingenting i någon riktning.

Den ordning jag använder på dagen

Bekräfta objektet som går ut och dess kedja, bekräfta sedan klockorna:

• Vilket certifikat som går ut och vilken kedja det tillhör.
• Om varje mellanliggande certifikat är utrullat och publicerat.
• Klientens och serverns klockor stämmer överens inom rimlig marginal.
• En ny inloggning lyckas från en representativ klient.
• Återkallningsinformation är nåbar.
• Det finns en återrullning som inte försvagar verifieringen.

Förnya sedan, rulla ut hela kedjan, testa med en ny inloggning och städa först efteråt. Giltighetsperioder och reglerna för att bedöma dem definieras i RFC 5280, och datumet är ingen överraskning om din övervakning följde objektet som faktiskt går ut.