OpenVPNのSSL証明書の有効期限が切れたとき

Question

前提・実現したいこと

背景

コロナ禍ということもあり、20人程度の小規模な在宅勤務環境を検討しており、
AWS Lightsail上のUbuntuマシンにSoftEtherVPNのDockerコンテナを構築しました。

利用者のルータやアンチウイルスソフトによって、L2TP/IPsecだけではファイアウォールにブロックされてしまう可能性がありましたので、ブロックされにくいOpenVPN（443ポート）も使用できるようにしたいと考えました。

問題

OpenVPNで使用するSSL証明書は「Let's Encrypt」を使用するようにしたのですが、有効期限が90日となっていました。サーバ側は自動で更新してしまえばいいのですが、更新時は利用者が接続に使用するOpenVPNの「*.ovpn」ファイルの再配布は必要なんでしょうか。

もし、必要な場合、配布が自動化できないことから、万が一更新期限が切れてしまった場合、インターネットに接続できない利用者に「*.ovpn」ファイルを再配布できない為、トラブルになる懸念を感じました。

どのように対応することが適切か、アドバイスをいただきたく投稿しました。何卒よろしくお願い致します。

補足情報（FW/ツールのバージョンなど）

Dockerコンテナのイメージファイルは以下を参考にカスタマイズしました。
https://github.com/siomiz/SoftEtherVPN

Answer 1

どのように対応することが適切か、アドバイスをいただきたく投稿しました。何卒よろしくお願い致します。

更新したらhttpsで配布するとか？認証は、会社なら会社のメールアドレスにワンタイムワンアクセスのURLを送るとか

「Let's Encrypt」

ちなみに、身内で使うならオレオレ証明書で良いじゃんって思いました
対外向けにVPNで作業してるので安全ですよーってアピールするならダメですが

Comments

[inoway]

ありがとうございます。m(_ _)m
ワンタイムアクセスのURLでアクセスできるとは知りませんでしたので、調べてみます。

[hentaiman]

ただのアクセス制限の厳しいファイルダウンロードシステムですよ
それより回答に書いたように身内専用なら期限少し長めのオレオレ証明書にした方が楽だと思いますよ

[inoway]

ありがとうございます。オレオレは漠然とした不安があって避けていたのですが、一度リスクも含めて再度考えてみます。m(_ _)m

[hentaiman]

問題無いですよ、身内が理解していて発行した証明書なんだから疑う理由が無いですから。

> 漠然とした不安が
他人がSSL通信使ってて「アラート出るけどちゃんと自分で作った証明書だから大丈夫ですよ！」とか言われたら不安だし信用出来ませんけど
なのでリスクと言うならSSL通信を提供する側ではなく、その証明書を使った通信を利用する側が受けるリスクですね（それも今回は身内なので問題無い