Expiration du certificat
L'expiration du certificat dans SysAdmin Crisis : une seule ligne d'alerte, puis des handshakes TLS qui échouent. Sa signature et comment la distinguer.
Dernière mise à jour:
Le plus petit incident du jeu, et celui que l'inattention fait tomber le plus souvent. Il s'annonce une fois, sans détour, puis ne fait rien pendant un moment.
Ce qu'il fait
Il arrive en deux temps. À l'injection, une seule ligne d'avertissement indique que le certificat TLS du répartiteur de charge est sur le point d'expirer — et rien d'autre ne se produit. Aucune métrique ne bouge, aucune barre ne change de couleur, aucune machine ne change d'état.
Une fois le délai de grâce écoulé, le certificat expire et deux choses se produisent en même temps : le trafic légitime chute, parce que les clients ne peuvent plus se connecter ; et la tempête de retries de ces clients consume le CPU des répartiteurs de charge jusqu'à CRIT. La disponibilité baisse des deux côtés à la fois.
La signature dans les logs
D'abord un unique avertissement de monit sur le répartiteur de charge ; une fois le certificat expiré, des erreurs de handshake atterrissent dans le journal d'erreurs de nginx :
00:14:22 lb-01 monit[540]: 'shop-tls' certificate expiry test failed -- certificate expires in less than 1 day
00:19:40 lb-01 nginx: [crit] SSL_do_handshake() failed (SSL: error:0A000415:SSL routines::sslv3 alert certificate expired:SSL alert number 45) while SSL handshaking, client: 198.51.100.23, server: 0.0.0.0:443
L'avertissement passe inaperçu dans le flux de logs et ne se répète pas. Vous pouvez lire la vraie date d'expiration du certificat avec openssl x509 -enddate -noout -in <cert> ; la commande openssl affiche cette date exactement telle qu'elle figure dans le certificat.
Si vous n'y touchez pas
L'impact dure jusqu'à la fin de la garde. L'avertissement ne se répète pas. C'est le seul incident où la différence entre « résolu à temps » et « remarqué bien trop tard » tient à une seule ligne de texte que vous avez lue ou non.
Le distinguer des autres
Rien d'autre dans le jeu ne produit une erreur de handshake TLS, et rien d'autre ne vous prévient avant de faire des dégâts. Si vous voyez certificate dans une ligne de log, le diagnostic est court ; la vraie question est de savoir quand vous prenez l'avertissement au sérieux.
Quand il apparaît
| Première nuit | 4 |
| Nécessite | une machine lb (les répartiteurs de charge arrivent à la nuit 3) |
| Poids | 55 — l'incident le plus rare du catalogue |
| Simultanément | une instance |
L'intervention ne montre pas son effet immédiatement ; même une fois que vous avez agi, la correction n'est pas instantanée.