Zertifikatsablauf
Zertifikatsablauf in SysAdmin Crisis: eine frühe Warnzeile im Log, dann TLS-Handshakes, die scheitern. Lerne die Signatur und die Abgrenzung.
Zuletzt aktualisiert:
Der kleinste Vorfall im Spiel, und derjenige, der am häufigsten der Unaufmerksamkeit zum Opfer fällt. Er kündigt sich einmal an, ganz schlicht, und tut dann eine Weile nichts.
Was er tut
Er kommt in zwei Stufen. Bei der Auslösung sagt eine einzelne Warnzeile, dass das TLS-Zertifikat des Load Balancers bald abläuft – und sonst passiert nichts. Keine Metrik bewegt sich, kein Balken ändert die Farbe, keine Maschine wechselt ihren Zustand.
Läuft die Karenzzeit ab, verfällt das Zertifikat, und zwei Dinge geschehen gleichzeitig: Der legitime Traffic bricht ein, weil Clients sich nicht mehr verbinden können; und der Retry-Sturm dieser Clients treibt die CPU der Load Balancer bis auf CRIT. Die Verfügbarkeit (Uptime) sinkt von beiden Seiten zugleich.
Die Log-Signatur
Zuerst eine einzelne Warnung von monit auf dem Load Balancer; sobald das Zertifikat abgelaufen ist, landen Handshake-Fehler im nginx-Fehlerlog:
00:14:22 lb-01 monit[540]: 'shop-tls' certificate expiry test failed -- certificate expires in less than 1 day
00:19:40 lb-01 nginx: [crit] SSL_do_handshake() failed (SSL: error:0A000415:SSL routines::sslv3 alert certificate expired:SSL alert number 45) while SSL handshaking, client: 198.51.100.23, server: 0.0.0.0:443
Die Warnung huscht im Log-Stream vorbei und wiederholt sich nicht. Das tatsächliche Ablaufdatum des Zertifikats kannst du mit openssl x509 -enddate -noout -in <cert> auslesen; der Befehl openssl zeigt dieses Datum genau so an, wie es im Zertifikat steht.
Wenn du ihn in Ruhe lässt
Die Auswirkung hält für den Rest der Schicht an. Die Warnung wiederholt sich nicht. Das ist der einzige Vorfall, bei dem der Unterschied zwischen „rechtzeitig gelöst“ und „viel zu spät bemerkt“ eine einzelne Textzeile ist, die du entweder gelesen hast oder nicht.
Abgrenzung
Nichts anderes im Spiel erzeugt einen TLS-Handshake-Fehler, und nichts anderes warnt dich, bevor es Schaden anrichtet. Wenn du certificate in einer Log-Zeile siehst, ist die Diagnose kurz; die eigentliche Frage ist, wann du die Warnung ernst nimmst.
Wann er auftaucht
| Früheste Nacht | 4 |
| Voraussetzung | eine lb-Maschine (Load Balancer kommen in Nacht 3 hinzu) |
| Gewicht | 55 – der seltenste Vorfall im Katalog |
| Gleichzeitig | eine Instanz |
Der Eingriff zeigt seine Wirkung nicht sofort; selbst nachdem du gehandelt hast, ist die Behebung nicht augenblicklich.