VPN sertifikanız bugün sona eriyor: aslında ne durur

Sona erme uyarısı çalışır, tünel hâlâ trafik geçirir ve kimse tarihin önemli olup olmadığı konusunda anlaşamaz. Önemlidir, ama her zaman sertifikada basılı olan anda değil. Süresi dolmuş bir sertifika yeni kimlik doğrulamaları durdurur ve bazı uygulamaların uzun ömürlü bir oturum içinde yaptığı yeniden doğrulamaları da durdurur. Mevcut tünelinizin gece yarısı ölüp ölmeyeceği protokole, istemciye ve sunucunun yeniden müzakere ayarlarına bağlıdır. Yenilemeyi tarihten önce planlayın ve zaten açık olan oturumla değil, yeni bir oturum açmayla doğrulayın.

Hangi sertifikanın gerçekten sona erdiğini bulun

Bir dağıtım, sunucu yaprak sertifikası, istemci kimlik bilgileri, bir veya daha fazla ara sertifika ve bir güven çapası içerir ve bunlar birlikte sona ermez. Hatada adı geçen sertifikayı ve onunla sunulan zinciri okuyun, profil dizinindeki ilk dosyayı değil. Temiz yenilenen bir sunucu yaprak sertifikası, üstündeki ara sertifika sona erdiyse yine de başarısız olabilir. Herhangi bir şeyi değiştirmeden önce her dosyanın konusunu, vereni, not-after değerini ve dağıtım yerini yazın.

Güven çapası genellikle en uzun ömürlü nesnedir ve en az olası nedendir.

Canlı bir oturum tarihi neden aşabilir

Kimlik doğrulama bağlantı kurulurken gerçekleşir ve bazı protokoller kimliği daha sonra yeniden kontrol eder. OpenVPN veri kanalını bir zamanlayıcıyla yeniden müzakere eder, bu yüzden süresi dolmuş bir sertifika sunan yeniden müzakere, tünel saatlerdir ayakta olsa bile başarısız olur. Hiç yeniden doğrulama yapmayan uygulamalar kurulmuş bir oturumu sona erme tarihinin ötesine taşıyabilir, bu yüzden «hâlâ çalışıyor» kanıt değildir. İki davranışın hiçbiri planlanabilecek bir şey değildir.

Tarihi yeni oturum açmalar için son tarih, oturum ömrünü ise ödünç alınmış zaman olarak görün.

Sertifikayı suçlamadan önce saati kontrol edin

Geçerlilik yerel saate göre değerlendirilir, bu yüzden yanlış saati olan bir cihaz tamamen güncel bir sertifika için geçerlilik hatası bildirir. İstemciyi, sunucuyu ve yoldaki her cihazı kontrol edin.

Açılışta sıfırlanan bir saat, yalnızca elektrik kesintisinden sonra ortaya çıkan arızaları açıklar.

Onu veren otorite üzerinden yenileyin

Kimliği, amaçlanan kullanımı ve uyumlu bir anahtar yapılandırmasını koruyun. Yenileme yeni bir veren veya sabitlenmiş bir sertifika getiriyorsa, istemcilerin sunucudaki dosya değişimi yerine koordineli bir güven güncellemesine ihtiyacı vardır. Verme ve dağıtım sırasında özel anahtarları koruyun, çünkü yenilenen bir sertifika ele geçirilmiş eski anahtarı iptal etmez. Parola sıfırlama yenileme değildir, bilet ne derse desin.

Yeni zinciri tam olarak yayımlayın, çünkü ara sertifikası olmayan bir yaprak, yalnızca onu zaten önbelleğe almış makinelerde çalışan yarım bir yenilemedir.

Yeni bir oturum açmayla kanıtlayın, geri dönüş yolu bırakın

Dağıtımdan sonra temsili bir istemciden yeni izinli bağlantı kurun ve gerçek uygulamayı deneyin. Zincirin istemcilerin beklediği gibi teslim edildiğini ve herhangi bir iptal bilgisinin erişilebilir olduğunu kontrol edin. Süresi dolmuş malzemeye güvenmeye bağlı olmayan bir geri dönüş yolu bırakın, böylece doğrulamayı zayıflatmadan önceki duruma dönebilirsiniz. Eski dosyaları yalnızca değişim doğrulandıktan sonra kaldırın.

Mevcut oturumlar hâlâ önceki durumu yansıtabilir, bu yüzden hiçbir yönü kanıtlamazlar.

O gün kullandığım sıra

Sona eren nesneyi ve zincirini doğrulayın, sonra saatleri doğrulayın:

• Hangi sertifika sona eriyor ve hangi zincire ait.
• Her ara sertifikanın dağıtılıp yayımlanıp yayımlanmadığı.
• İstemci ve sunucu saatlerinin makul bir aralıkta uyuşması.
• Temsili bir istemciden yeni oturum açmanın başarılı olması.
• İptal bilgisinin erişilebilir olması.
• Doğrulamayı zayıflatmayan bir geri dönüşün bulunması.

Sonra yenileyin, tam zinciri dağıtın, yeni bir oturum açmayla test edin ve ancak ondan sonra temizleyin. Geçerlilik süreleri ve bunların değerlendirilme kuralları RFC 5280 belgesinde tanımlanmıştır ve izlemeniz gerçekten sona eren nesneyi gözlediyse tarih sürpriz olmaz.