Caducidad del certificado
Caducidad del certificado en SysAdmin Crisis: una línea de aviso en el log y luego handshakes TLS que fallan. Aprende su firma y cómo distinguirlo.
Última actualización:
El incidente más pequeño del juego, y el que más veces se cobra la falta de atención. Se anuncia una sola vez, con claridad, y después no hace nada durante un tiempo.
Qué hace
Llega en dos fases. Al inyectarse, una única línea de advertencia dice que el certificado TLS del balanceador de carga está a punto de caducar, y no ocurre nada más. Ninguna métrica se mueve, ninguna barra cambia de color, ninguna máquina cambia de estado.
Cuando se agota el periodo de gracia, el certificado caduca y ocurren dos cosas a la vez: el tráfico legítimo cae, porque los clientes ya no pueden conectarse; y la tormenta de reintentos de esos clientes quema la CPU de los balanceadores de carga hasta que llega a CRIT. La disponibilidad cae por ambos lados a la vez.
La firma en el log
Primero una única advertencia de monit en el balanceador de carga; una vez que el certificado ha caducado, los errores de handshake llegan al log de errores de nginx:
00:14:22 lb-01 monit[540]: 'shop-tls' certificate expiry test failed -- certificate expires in less than 1 day
00:19:40 lb-01 nginx: [crit] SSL_do_handshake() failed (SSL: error:0A000415:SSL routines::sslv3 alert certificate expired:SSL alert number 45) while SSL handshaking, client: 198.51.100.23, server: 0.0.0.0:443
La advertencia pasa de largo en el flujo de logs y no se repite. Puedes leer la fecha real de caducidad del certificado con openssl x509 -enddate -noout -in <cert>; el comando openssl muestra esa fecha exactamente como está en el certificado.
Si lo dejas
El impacto dura el resto del turno. La advertencia no se repite. Es el único incidente en el que la diferencia entre «resuelto a tiempo» y «notado demasiado tarde» es una sola línea de texto que o bien leíste o no.
Cómo distinguirlo
Ninguna otra cosa en el juego produce un error de handshake TLS, y ninguna otra cosa te avisa antes de hacer daño. Si ves certificate en una línea de log, el diagnóstico es corto; la verdadera cuestión es cuándo te tomas en serio la advertencia.
Cuándo aparece
| Noche más temprana | 4 |
| Necesita | una máquina lb (los balanceadores de carga se incorporan en la noche 3) |
| Peso | 55, el incidente más raro del catálogo |
| A la vez | una instancia |
La intervención no muestra su efecto de inmediato; incluso después de actuar, la solución no es instantánea.