- Порезанный
- 22 июля 2026 г. в 14:26 UTC
- Автор
- Kamo
- Обещать
- f62bccf
update tls store() перестроила TLSStore из простого секретного списка только на префиксе имени и типе, без проверки того, что сертификат все еще принадлежит Секретно и никаких проверок не после. Wildcard-kamocrm-com остался сиротой, когда был повторно назначен сертификат kamocrm-com-cert от wildcard-kamocrm-com до tls-kamocrm-com cert name чисто из FQDN, и его раннее возвращение сравнивает dnsNames и privateKey, но никогда не секретное имя, поэтому приложение переписало spec.secret Имя на месте. Серт-менеджер не удаляет секрет, от которого он был повторно указан, поэтому Ничто не обновило старое. Он истек 2026-07-20 гг. и до сих пор остается Переиздано в магазине каждое примирение — выиграл SNI над свежим пер-хозяином Все 16 имен, перечисленных в нем. **************************** capcha.kamocrm.com обслуживает истекший сертификат, в то время как действительный, не истекший Замена не использовалась в том же магазине. Update tls store() теперь: - исключает любое секретное прошлое Not After, проверенное с помощью "openssl -checkend 0" вместо 30-дневного cert expired(), так что сертификат в окне обновления Он никогда не выкидывается из Траефика, пока еще действителен. - исключает наследственные секреты wildcard, которыми не владеет сертификат - отбрасывает унаследованные мульти-САН сертификаты, имена которых полностью покрыты пер-хостом сертификаты, исключающие дублирование покрытия SNI вместо того, чтобы полагаться на магазин Приказ сломать галстук Все три охранника не открываются, поэтому неудавшийся поиск или нечитаемые сертификаты Действующее поведение и никогда не может бросить живую сертификацию. Гарантия host certificate() Теперь регистрируется, когда он повторно указывает Сертификат, поэтому будущие сироты видны скорее чем молчание. Проверено на снимке состояния кластера: 177 -> 165 сертификатов, все 12 унаследованных мульти-SAN записей вышли на пенсию (6 истекли, 6 полностью заменены) и Ни один живой хозяин не теряет покрытия.