Kuingia mpya kwenye VPN kunashindikana wakati vyeti ni halali: angalia CRL

Vyeti vilivyobakiza miezi na kuingia kunakoshindikana mara moja vinaelekeza kwenye vitu viwili tofauti vyenye saa mbili tofauti. Seva inakataa miunganisho kwa sababu orodha ya vyeti vilivyofutwa ambayo inaishauri imepita tarehe yake ya mwisho, si kwa sababu vyeti vya watumiaji vimepitwa na wakati. Kufanya upya cheti cha mtumiaji hakuna kinachofanya kwa orodha hiyo.

Kutenganisha ratiba hizo mbili ndiyo utambuzi wote, na kunabadilisha jibu linapaswa kuwa nini.

Saa mbili, na moja tu kati yao ndiyo cheti

Cheti hubeba kipindi cha uhalali. Orodha ya ufutaji wa vyeti hubeba kipindi chake yenyewe, pamoja na mtoaji na sahihi, na wathibitishaji wanakataa kuamini orodha ambayo muda wake wa sasisho lijalo umepita. Hilo linapotokea, mteja huwasilisha cheti halali kabisa na seva bado inakata muunganisho kwa ujumbe kuhusu orodha. Watumiaji husoma ujumbe huo kama 'cheti kimeisha muda', jambo ambalo hutuma ombi la kufanya upya mahali pasipofaa.

Vitu hivyo viwili pia vina wamiliki tofauti: cheti hutoka kwa CA iliyokitoa, wakati orodha hutengenezwa kwa ratiba na yeyote anayeendesha CA hiyo. Mtumiaji hawezi kuifanya upya, na kutoa vyeti upya hakuwezi kuiongeza muda.

Soma orodha ambayo huduma inapakia kwa kweli

Anza na usanidi unaoendesha, si na faili unayotarajia. Njia crl-verify inaweza kuwa kamili, jamaa na wasifu, au nakala iliyopachikwa kwenye picha, na mthibitishaji husoma nakala hiyo. Iangalie papo hapo ukitumia openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate na ulinganishe tarehe na saa ya seva.

Kisha thibitisha kuwa faili hiyo ndiyo inayotumika kweli: angalia sahihi yake kwa openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout, ambayo huripoti matokeo ya uthibitishaji badala ya kuchapisha sehemu kimya kimya. Orodha iliyotiwa sahihi na CA nyingine, au nakala ya zamani iliyoachwa kwenye saraka ya pili, inashindikana sawa na iliyoisha muda.

Tengeneza upya kutoka hifadhidata ya ufutaji, si kuanzia mwanzo

Orodha mpya lazima itokane na hifadhidata ya sasa ya ufutaji ya CA, kwa njia ya mchakato ulioidhinishwa wa kutia sahihi. Kutengeneza orodha tupu, au kutengeneza upya kutoka nakala ya zamani ya faharasa, kimya kimya hufuta ufutaji wa kila utambulisho ulioongezwa tangu nakala hiyo. Hilo hubadilisha kukatika kwa kuingia kuwa kurudi nyuma kwa usalama, na hakuna anayegundua kwa sababu dalili hupotea.

Weka hatua ya utengenezaji kwenye udhibiti wa toleo pamoja na zana nyingine za CA, ili muda na ufunguo wa kutia sahihi virekodiwe badala ya kukumbukwa. Kuingiza kwenye mwongozo wa uendeshaji kunakotaja amri, mtia sahihi na lengo la uchapishaji kunatosha. Mtu yeyote aliye kazini anaweza kisha kutengeneza upya bila kubahatisha ni faili gani ya faharasa iliyo na mamlaka. Hifadhi namba ya mfululizo ya orodha na muda wa sasisho lijalo pamoja na rekodi ya usambazaji.

Sambaza mahali mthibitishaji anapotazama

Nakili orodha mpya kwenye njia ambayo huduma husoma, weka umiliki na hali ili akaunti ya huduma iweze kuisoma lakini wengine wasiweze, kisha ipakie upya au ianzishe upya kulingana na tabia iliyorekodiwa. Ikiwa huduma ya chinichini huhifadhi orodha kwenye akiba wakati wa kuanza, kubadilisha faili bila kupakia upya hakubadilishi chochote ambacho mchakato unaoendesha utagundua. Thibitisha muhuri wa muda ambao mchakato huripoti baada ya kupakia upya.

Ikiwa huduma kadhaa huthibitisha wateja, sambaza kwa kila moja yao. Kusasisha kituo kimoja na kuacha kingine na nakala ya zamani huzalisha hitilafu inayoonekana tu kwa watumiaji wanaofikia cha pili. Weka orodha fupi ya vituo hivyo kwenye mwongozo huo huo wa uendeshaji. Baada ya usambazaji, angalia tarehe ya orodha inayoripotiwa na kila kimoja badala ya kudhani nakala imefika.

Fanya tarehe ya mwisho ijayo ionekane kabla haijapita

Muda mrefu wa uchapishaji hupunguza marudio ya tukio hili bila kuunda mchakato. Chagua muda kulingana na sera ya mwendeshaji, kisha weka tahadhari kwenye sehemu ya sasisho lijalo ya orodha iliyosambazwa ukiwa na muda wa kutosha wa kutengeneza upya na kusambaza. Toa tahadhari kwenye nakala iliyosambazwa, si kwenye mwenyeji wa CA, kwa sababu nakala iliyosambazwa ndiyo inayoshindikana.

Baada ya usambazaji, thibitisha pande zote mbili: mtumiaji aliyeruhusiwa anaunganishwa, na utambulisho uliofutwa unaojulikana bado unashindikana. Ukaguzi wa pili ndio unaokamata utengenezaji upya usiokamilika, na unahitaji amri moja dhidi ya wasifu wa jaribio unaouweka kwa madhumuni haya hasa.