Pagpapanibago ng mga sertipiko ng OpenVPN: ihatid ang sertipiko, hindi ang timer

Dalawang disenyo ng pagpapanibago ang magkamukha sa isang pagsusuri ng disenyo at ibang-iba ang kilos sa Enero. Ang una ay nagpapatakbo ng timer, muling naglalabas ng mga sertipiko at nagtatapon ng mga file sa isang shared folder. Ang pangalawa ay tinatrato ang pagpapanibago bilang problema ng paghahatid: sino ang humihiling, ano ang nagpapatunay ng karapatan, paano nakararating ang materyal sa aparato at ano ang nagtutulak sa kliyente na gamitin ito. Ang pangalawa lamang ang nakakaligtas sa isang offline na laptop, isang retiradong asset at isang paghahatid na tahimik na nabigo.

Ihambing ang dalawang disenyo sa puntong talagang nagkakaiba sila

Ang disenyong may timer ay nag-o-optimize sa panig ng server. Ang naka-iskedyul na gawain ay tumatawag sa CA, may lumilitaw na bagong sertipiko at itinuturing ng operator na tapos na ang trabaho. Lahat ng nangyayari pagkatapos ng paglabas ay problema ng iba, hanggang sa may aparatong hindi makakonekta at ipaliwanag ng petsa ng pag-expire kung bakit.

Ang disenyo ng workflow ay nag-o-optimize sa huling milya. Ipinapalagay nito na ang paglabas ay isang kawing sa isang tanikala at ang bawat susunod na hakbang ay maaaring mabigo nang mag-isa. Mas mahal itong buuin at mas mura ang pagpapatakbo, dahil lumilitaw ang mga pagkabigo bilang sinusubaybayang estado at hindi bilang mga kliyenteng nag-expire.

Isang kapaki-pakinabang na paraan upang manatili sa paningin ang pagkakaiba ay ang pagkakasunod-sunod na dapat tahasang pangalanan ng bawat disenyo.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Tuklasin ang window mula sa sertipiko mismo

Basahin ang bisa mula sa sertipikong aktwal na ipinapakita ng kliyente, hindi mula sa petsang nakabaon sa isang kinopyang pangalan ng file. Gumagalaw ang mga pangalan ng file, at ang isang file na nagsasabing 2026 ay maaaring may taglay na kredensyal na nag-expire sa Marso.

Mag-iwan ng puwang sa window para sa mga mabagal na kaso: mga aparatong offline nang ilang linggo, mga pag-aprubang nangangailangan ng tao at mga landas ng paghahatid na minsang nabibigo bago gumana. Ang timer na nag-uulat ng tagumpay ay nagpapatunay lamang na tumakbo ang timer, wala nang iba.

Pahintulutan ang kahilingan bago maglabas ng anuman

Ang umiiral na sertipiko ay maaaring bahagi ng isang lehitimong mekanismo ng pagpapanibago, ngunit ang teksto ng paksa nito ay hindi desisyon sa pagpapahintulot. Ang tanong na dapat sagutin ay kung ang account na ito at ang aparatong ito ay may karapatan pa rin sa pagkakakilanlan sa fleet, at ang sagot na iyon ay nasa iyong mga talaan ng asset, hindi sa sertipiko.

Ang retiradong laptop na tumatakbo pa rin ang naka-iskedyul na gawain ay hindi dapat makatanggap ng bagong karapatan. RFC 7030 sulit basahin dito dahil hinihiwalay nito ang awtentikadong muling pagpaparehistro mula sa awtorisasyon at patakaran sa panig ng server; ito ay modelong mahihiram, hindi pahayag na ang OpenVPN o EasyRSA ay naghahatid ng protokol na iyon.

Paghahatid, paghahanda at pagpapagana bilang magkakahiwalay na hakbang

Pinapanatili ng paglabas ang pagkakakilanlan, layunin at ugnayan ng paglabas, at ang kapalit na nalikha gamit ang bagong pares ng susi ay walang silbi maliban kung ang katugmang susi ay naglalakbay kasama nito. Ihatid ang pares sa isang channel na may disenyo ng kontrol sa pag-access sa likod, dahil ang URL na hindi mahulaan ay pagtatago, hindi kontrol.

Ang paghahanda ang lugar kung saan tahimik na nasisira ang karamihan ng automation. Ang na-import na profile ay maaaring nasa isang lokasyon habang ang administrator ay nag-a-update ng file sa ibang lugar, at patuloy na ipinapakita ng kliyente ang lumang sertipiko hanggang may makapansin. Isulat ang landas na binabasa ng kliyente, ang account na pinapayagang magsulat doon at ang kaganapang nagdudulot ng muling pag-load. Pagkatapos ay kumpirmahin na ang kapalit ay ang file na aktwal na ginagamit at hindi isang kopyang dumating sa tabi nito.

Ang beripikasyon ay nangangahulugan ng bagong awtentikasyon gamit ang bagong materyal at pagsusuri ng aplikasyong kailangan ng gumagamit. Ang tunnel na naitatag na ay maaaring sumasalamin pa rin sa dating kredensyal, kaya ang bukas na koneksyon ay hindi patunay ng matagumpay na pagpapanibago.

Idisenyo muna ang pagbawi ng napalampas na window

Kapag ang laptop ay nakararating sa serbisyo ng pagpaparehistro sa pamamagitan lamang ng VPN, ang pag-expire ay lumilikha ng loop: kailangan ng aparato ang sertipiko upang pumasok sa tunnel at ang tunnel upang kunin ang sertipiko. Magpasya sa out-of-band na kaayusan bago umalis ang unang naka-iskedyul na gawain, maging ito ay hiwalay na awtentikadong endpoint ng pagpaparehistro o muling pagpaparehistro na tinutulungan ng administrator.

Anuman ang piliin mo, kailangan nitong iberipika ang humihiling at ang kasalukuyang karapatan. Ang i-configure ang server upang tumanggap ng mga nag-expire na sertipiko mula sa sinumang humihiling ay hindi landas ng pagbawi, ito ay permanenteng pagpapahina ng pagsusuring ipinagtanggol mo sa natitirang bahagi ng disenyo.

Sa wakas, panatilihin ang pagpapanibago at kompromiso sa magkakahiwalay na pamamaraan. Ang tumagas na susi ay nangangailangan ng pagpapawalang-bisa at tugon sa mga aktibong sesyon, at ang pagpapahaba ng petsa ng pag-expire ay walang taglay na alinman sa mga iyon. Isama ang offline na aparato, nabigong paghahatid at retiradong asset sa pagsubok ng pagtanggap, at handa nang paganahin ang iskedyul.