Nabibigo ang mga bagong pagpasok sa VPN habang wasto ang mga sertipiko: suriin ang CRL

Ang mga sertipikong may natitirang buwan at mga pagpasok na agad nabibigo ay tumutukoy sa dalawang magkaibang bagay na may dalawang magkaibang orasan. Tinatanggihan ng server ang mga koneksyon dahil ang listahan ng mga binawing sertipiko na kinukonsulta nito ay lumampas na sa sarili nitong petsa ng pag-expire, hindi dahil luma na ang mga sertipiko ng mga gumagamit. Walang nagagawa ang pag-renew ng sertipiko ng gumagamit para sa listahang iyon.

Ang paghihiwalay ng dalawang iskedyul ang buong pagsusuri, at binabago nito kung ano ang dapat na maging solusyon.

Dalawang orasan, at isa lamang sa kanila ang sertipiko

May dalang agwat ng bisa ang isang sertipiko. May dalang sariling agwat ang listahan ng pagbawi ng mga sertipiko, kasama pa ang isang naglabas at isang lagda, at ayaw pumayag ng mga tagapagpatunay na magtiwala sa listahang lumipas na ang oras ng susunod na pagbabago. Kapag nangyari iyon, naghaharap ang kliyente ng ganap na wastong sertipiko at itinatakwil pa rin ng server ang koneksyon na may mensahe tungkol sa listahan. Binabasa ng mga gumagamit ang mensaheng iyon bilang 'nag-expire ang sertipiko', na nagpapadala ng kahilingan sa pag-renew sa maling lugar.

Magkaiba rin ang may-ari ng dalawang bagay: ang sertipiko ay nagmumula sa CA na naglabas nito, samantalang ang listahan ay ginagawa ayon sa iskedyul ng sinumang nagpapatakbo ng CA na iyon. Hindi ito ma-refresh ng isang gumagamit, at hindi ito mapapahaba ng muling paglabas ng mga sertipiko.

Basahin ang listahang aktuwal na ikinakarga ng serbisyo

Magsimula sa tumatakbong konfigurasyon, hindi sa file na inaasahan mo. Ang landas ng crl-verify ay maaaring ganap, kaugnay sa profile, o isang kopyang nakabaon sa isang imahe, at ang tagapagpatunay ay nagbabasa ng kopyang iyon. Suriin ito sa mismong lugar gamit ang openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate at ihambing ang mga petsa sa orasan ng server.

Pagkatapos, tiyakin na ang file ay talagang ang ginagamit: suriin ang lagda nito gamit ang openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout, na nag-uulat ng resulta ng pagpapatunay sa halip na tahimik na maglimbag ng mga field. Ang listahang pinirmahan ng ibang CA, o lumang kopyang naiwan sa pangalawang direktoryo, ay nabibigo nang eksakto tulad ng nag-expire.

Muling buuin mula sa database ng pagbawi, hindi mula sa simula

Ang bagong listahan ay dapat magmula sa kasalukuyang database ng pagbawi ng CA, sa pamamagitan ng aprubadong proseso ng pagpirma. Ang pagbuo ng walang laman na listahan, o ang muling pagbuo mula sa lumang reserbang kopya ng talatuntunan, ay tahimik na nag-aalis ng pagbawi sa bawat pagkakakilanlang idinagdag mula noong reserbang kopyang iyon. Ginagawa nitong pag-urong sa seguridad ang isang pagtigil ng pagpasok, at walang nakakapansin dahil nawawala ang sintomas.

Panatilihin ang hakbang ng pagbuo sa kontrol ng bersyon kasama ng iba pang kagamitan ng CA, upang ang agwat at ang susi sa pagpirma ay nakadokumento sa halip na natatandaan. Sapat na ang isang tala sa manual ng operasyon na nagpapangalan sa utos, sa pumipirma at sa lalabasan ng paglalathala. Sinuman sa duty ay makakapagbuo muli nang hindi hinuhulaan kung aling file ng talatuntunan ang awtoritatibo. Itabi ang numero ng serye at oras ng susunod na pagbabago ng listahan kasama ng talaan ng pagpapalabas.

Ilabas sa lugar na tinitingnan ng tagapagpatunay

Kopyahin ang bagong listahan sa landas na binabasa ng serbisyo, itakda ang pagmamay-ari at modo upang mabasa ito ng account ng serbisyo ngunit hindi ng iba, at muling ikarga o simulan muli ayon sa nakadokumentong pag-uugali. Kung itinatago ng serbisyong patakbo sa likod ang listahan sa pansamantalang imbakan sa pagsisimula, walang mababago sa mapapansin ng tumatakbong proseso sa pagpapalit ng file nang walang muling pagkarga. Tiyakin ang tatak ng oras na iniuulat ng proseso pagkatapos ng muling pagkarga.

Kung maraming serbisyo ang nagpapatunay ng mga kliyente, ilabas ito sa bawat isa. Ang pagbabago ng isang punto at pag-iwan sa isa pa sa lumang kopya ay lumilikha ng kabiguang lumilitaw lamang sa mga gumagamit na napupunta sa pangalawa. Panatilihin ang maikling listahan ng mga puntong iyon sa parehong manual ng operasyon. Pagkatapos ng paglalabas, suriin ang petsa ng listahang iniuulat ng bawat isa sa halip na ipagpalagay na dumating ang kopya.

Gawing nakikita ang susunod na takda bago ito lumipas

Binababa ng mas mahabang agwat ng paglalathala ang dalas ng pangyayaring ito nang hindi gumagawa ng isang proseso. Piliin ang agwat mula sa patakaran ng tagapagpatakbo, pagkatapos ay maglagay ng alerto sa field ng susunod na pagbabago ng inilabas na listahan nang may sapat na paunang oras upang muling buuin at ilabas. Mag-alerto sa inilabas na kopya, hindi sa server ng CA, dahil ang inilabas na kopya ang nabibigo.

Pagkatapos ng paglalabas, tiyakin ang parehong direksyon: nakakonekta ang pinapayagang gumagamit, at nabibigo pa rin ang kilalang binawing pagkakakilanlan. Ang pangalawang pagsusuri ang humuhuli sa hindi kumpletong muling pagbuo, at nangangailangan ito ng isang utos laban sa profile ng pagsubok na inilalaan mo para sa eksaktong layuning ito.