Sertifikalar geçerliyken yeni VPN oturum açmaları başarısız oluyor: CRL'yi denetleyin

Ayları kalan sertifikalar ve hemen başarısız olan oturum açmalar, iki farklı saate sahip iki farklı nesneyi işaret eder. Sunucu bağlantıları reddediyor çünkü başvurduğu iptal edilmiş sertifika listesi kendi son kullanma tarihini geçmiş durumda, kullanıcıların sertifikaları eskidiği için değil. Bir kullanıcı sertifikasını yenilemek o listeye hiçbir şey yapmaz.

İki takvimi birbirinden ayırmak bütün teşhisin kendisidir ve düzeltmenin nasıl olması gerektiğini değiştirir.

İki saat ve bunlardan yalnızca biri sertifika

Bir sertifika bir geçerlilik penceresi taşır. Bir sertifika iptal listesi kendi penceresini, ayrıca bir veren ve bir imza taşır ve doğrulayıcılar, bir sonraki güncelleme zamanı geçmiş bir listeye güvenmeyi reddeder. Bu olduğunda istemci tamamen geçerli bir sertifika sunar ve sunucu yine de bağlantıyı liste hakkında bir mesajla düşürür. Kullanıcılar bu mesajı 'sertifikanın süresi doldu' diye okur, bu da yenileme isteğini yanlış yere gönderir.

İki nesnenin sahipleri de farklıdır: sertifika onu veren CA'dan gelir, listeyi ise o CA'yı işleten kişi bir takvime göre üretir. Bir kullanıcı onu yenileyemez ve sertifikaların yeniden verilmesi onu uzatamaz.

Hizmetin gerçekte yüklediği listeyi okuyun

Beklediğiniz dosyadan değil, çalışan yapılandırmadan başlayın. crl-verify yolu mutlak olabilir, profile göre göreli olabilir ya da bir imaja gömülü bir kopya olabilir ve doğrulayıcı o kopyayı okur. Onu yerinde openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate ile inceleyin ve tarihleri sunucunun saatiyle karşılaştırın.

Ardından dosyanın gerçekten kullanımdaki dosya olduğunu doğrulayın: imzasını openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout ile denetleyin, bu komut alanları sessizce yazdırmak yerine bir doğrulama sonucu bildirir. Farklı bir CA tarafından imzalanmış bir liste ya da ikinci bir dizinde kalmış eski bir kopya, tıpkı süresi dolmuş bir liste gibi başarısız olur.

Sıfırdan değil, iptal veritabanından yeniden oluşturun

Yeni liste, onaylanmış imzalama süreciyle CA'nın güncel iptal veritabanından gelmelidir. Boş bir liste üretmek ya da dizinin eski bir yedeğinden yeniden üretmek, o yedekten sonra eklenen her kimliğin iptalini sessizce geri alır. Bu, bir oturum açma kesintisini güvenlik gerilemesine dönüştürür ve belirti kaybolduğu için kimse fark etmez.

Üretim adımını CA araçlarının geri kalanıyla birlikte sürüm denetiminde tutun, böylece aralık ve imzalama anahtarı hatırlanmak yerine belgelenir. Komutu, imzalayanı ve yayın hedefini adlandıran bir işletim el kitabı girdisi yeterlidir. Nöbetteki herhangi biri, hangi dizin dosyasının yetkili olduğunu tahmin etmeden yeniden üretebilir. Listenin seri numarasını ve bir sonraki güncelleme zamanını dağıtım kaydıyla birlikte saklayın.

Doğrulayıcının baktığı yere dağıtın

Yeni listeyi hizmetin okuduğu yola kopyalayın, sahipliği ve modu hizmet hesabı okuyabilecek ama başkaları okuyamayacak şekilde ayarlayın ve belgelenen davranışa göre yeniden yükleyin veya yeniden başlatın. Arka plan servisi listeyi başlangıçta önbelleğe alıyorsa, dosyayı yeniden yükleme olmadan değiştirmek çalışan sürecin fark edeceği hiçbir şeyi değiştirmez. Yeniden yüklemeden sonra sürecin bildirdiği zaman damgasını doğrulayın.

Birden fazla hizmet istemcileri doğruluyorsa, her birine dağıtın. Bir uç noktayı güncelleyip diğerini eski kopyayla bırakmak, yalnızca ikinciye düşen kullanıcılarda görünen bir hataya yol açar. Bu uç noktaların kısa bir listesini aynı işletim el kitabında tutun. Kullanıma alımdan sonra, kopyanın ulaştığını varsaymak yerine her birinin bildirdiği liste tarihini denetleyin.

Bir sonraki son tarihi geçmeden görünür kılın

Daha uzun bir yayın aralığı, bir süreç yaratmadan bu olayın sıklığını düşürür. Aralığı işletmecinin politikasından seçin, sonra dağıtılan listenin bir sonraki güncelleme alanına, yeniden üretmek ve dağıtmak için yeterli ön süreyle alarm kurun. Alarmı dağıtılan kopyaya kurun, CA sunucusuna değil, çünkü başarısız olan dağıtılan kopyadır.

Dağıtımdan sonra her iki yönü de doğrulayın: izin verilen bir kullanıcı bağlanır ve bilinen iptal edilmiş bir kimlik hâlâ başarısız olur. İkinci denetim eksik bir yeniden üretimi yakalayan denetimdir ve tam da bu amaç için tuttuğunuz bir test profiline karşı tek bir komut gerektirir.