Sertifikatlar amal qilayotganda yangi VPN kirishlari muvaffaqiyatsiz bo'ladi: CRLni tekshiring

Bir necha oy qolgan sertifikatlar va darhol muvaffaqiyatsiz bo'ladigan kirishlar ikki xil soatga ega ikki xil obyektga ishora qiladi. Server ulanishlarni rad etmoqda, chunki u murojaat qiladigan bekor qilingan sertifikatlar ro'yxati o'zining tugash sanasidan o'tib ketgan, foydalanuvchilarning sertifikatlari eskirgani uchun emas. Foydalanuvchi sertifikatini yangilash bu ro'yxat uchun hech narsa qilmaydi.

Ikki jadvalni ajratish butun tashxisning o'zi va u tuzatish qanday bo'lishi kerakligini o'zgartiradi.

Ikki soat va ulardan faqat bittasi sertifikat

Sertifikat amal qilish oynasini olib yuradi. Bekor qilingan sertifikatlar ro'yxati o'z oynasini, shuningdek chiqaruvchi va imzoni olib yuradi, tekshiruvchilar esa keyingi yangilanish vaqti o'tib ketgan ro'yxatga ishonishdan bosh tortadi. Bu sodir bo'lganda mijoz mutlaqo amaldagi sertifikatni taqdim etadi, server esa baribir ro'yxat haqidagi xabar bilan ulanishni uzadi. Foydalanuvchilar bu xabarni 'sertifikat muddati tugadi' deb o'qiydi, bu esa yangilash so'rovini noto'g'ri joyga yuboradi.

Ikki obyektning egalari ham har xil: sertifikat uni chiqargan CAdan keladi, ro'yxat esa o'sha CAni boshqaradigan kishi tomonidan jadval bo'yicha yaratiladi. Foydalanuvchi uni yangilay olmaydi va sertifikatlarni qayta chiqarish uni uzaytira olmaydi.

Xizmat haqiqatda yuklaydigan ro'yxatni o'qing

Kutilgan fayldan emas, ishlab turgan konfiguratsiyadan boshlang. crl-verify yo'li mutlaq, profilga nisbatan yoki obrazga singdirilgan nusxa bo'lishi mumkin, tekshiruvchi aynan shu nusxani o'qiydi. Uni joyida openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate bilan ko'rib chiqing va sanalarni serverning soati bilan solishtiring.

So'ng fayl haqiqatan ishlatilayotganini tasdiqlang: imzosini openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout bilan tekshiring, u maydonlarni jimgina chop etish o'rniga tekshiruv natijasini bildiradi. Boshqa CA imzolagan ro'yxat yoki ikkinchi katalogda qolib ketgan eski nusxa xuddi muddati o'tgan kabi muvaffaqiyatsiz bo'ladi.

Noldan emas, bekor qilish ma'lumotlar bazasidan qayta yarating

Yangi ro'yxat CAning joriy bekor qilish ma'lumotlar bazasidan, tasdiqlangan imzolash jarayoni orqali kelishi kerak. Bo'sh ro'yxat yaratish yoki indeksning eski zaxirasidan qayta yaratish o'sha zaxiradan keyin qo'shilgan har bir shaxsning bekor qilinishini jimgina bekor qiladi. Bu kirish uzilishini xavfsizlik regressiyasiga aylantiradi va alomat yo'qolgani uchun hech kim sezmaydi.

Yaratish bosqichini CAning qolgan vositalari bilan versiya nazoratida saqlang, shunda oraliq va imzolash kaliti eslab qolinmay, hujjatlashtiriladi. Operatsion qo'llanmada buyruq, imzolovchi va e'lon maqsadini ko'rsatadigan yozuv kifoya. Shundan keyin navbatchilikdagi har kim qaysi indeks fayli vakolatli ekanini taxmin qilmasdan qayta yaratishi mumkin. Ro'yxatning seriya raqami va keyingi yangilanish vaqtini joylashtirish yozuvi bilan birga saqlang.

Tekshiruvchi qaraydigan joyga joylashtiring

Yangi ro'yxatni xizmat o'qiydigan yo'lga nusxalang, egalik va rejimni xizmat hisobi o'qiy oladigan, boshqalar esa o'qiy olmaydigan tarzda belgilang va hujjatlashtirilgan xatti-harakatga ko'ra qayta yuklang yoki qayta ishga tushiring. Agar fon xizmati ro'yxatni ishga tushishida keshlasa, qayta yuklamasdan faylni almashtirish ishlab turgan jarayon sezadigan hech narsani o'zgartirmaydi. Qayta yuklashdan keyin jarayon bildiradigan vaqt tamg'asini tasdiqlang.

Agar bir nechta xizmat mijozlarni tekshirsa, har biriga joylashtiring. Bir so'nggi nuqtani yangilab, boshqasini eski nusxa bilan qoldirish faqat ikkinchisiga tushadigan foydalanuvchilarda ko'rinadigan nosozlik tug'diradi. O'sha so'nggi nuqtalarning qisqa ro'yxatini o'sha operatsion qo'llanmada saqlang. Joriy etishdan keyin nusxa yetib keldi deb taxmin qilish o'rniga har birining bildirgan ro'yxat sanasini tekshiring.

Keyingi muddatni u o'tib ketishidan oldin ko'rinadigan qiling

Uzunroq e'lon orali bu hodisaning chastotasini jarayon yaratmasdan pasaytiradi. Oraliqni operator siyosatidan tanlang, so'ng joylashtirilgan ro'yxatning keyingi yangilanish maydoniga qayta yaratish va joylashtirish uchun yetarli oldindan vaqt bilan ogohlantirish o'rnating. Ogohlantirishni joylashtirilgan nusxaga o'rnating, CA xostiga emas, chunki muvaffaqiyatsiz bo'ladigan narsa joylashtirilgan nusxa.

Joylashtirgandan keyin ikkala yo'nalishni tekshiring: ruxsat etilgan foydalanuvchi ulanadi va ma'lum bekor qilingan shaxs hali ham muvaffaqiyatsiz bo'ladi. Ikkinchi tekshiruv to'liq bo'lmagan qayta yaratishni ushlaydi va u aynan shu maqsad uchun saqlaydigan sinov profiliga qarshi bitta buyruq talab qiladi.