Обновление сертификата NTS в chrony: rekey не заменяет загрузку сертификата
Увеличить схему
Фотография конкретного исполнения не приложена.
Руководство chrony 4.9 указывает, что файл ntsservercert загружается один раз. Для обновлённого сертификата требуется перезапуск chronyd. Поэтому копирование нового PEM-файла на диск не подтверждает, что последующее защищённое подключение уже получает новую цепочку. Этап фактической загрузки планируют отдельно.
Rekey перечитывает файл симметричных ключей, а при предусмотренной конфигурации — серверные NTS-ключи cookies. Это не универсальная команда обновления всех криптографических объектов. Сертификат, соответствующий ему приватный ключ и ключи шифрования cookies имеют разное назначение и разные правила жизненного цикла.
При нескольких сертификатах порядок файлов ключей должен соответствовать порядку сертификатов. Службе после снижения привилегий нужен доступ к файлам, а приватные ключи ограничивают от лишнего чтения. Сохранение cookie-ключей через ntsdumpdir помогает избежать массового повторного NTS-KE после перезапуска, но требует предусмотренного хранения состояния.
В приёмке проверяют новое подключение после согласованного обновления и поведение уже работающих клиентов. Сверяют выдаваемый сертификат и восстановление защиты. Успешный rekey или обновлённая дата файла не являются подтверждением, что сервер фактически использует новый сертификат в NTS-KE.
Основание — chrony 4.9 official versioned manual pages; release 2026-08-27, разделы chrony.conf ntsservercert; chrony.conf ntsserverkey; chrony.conf ntsdumpdir2; chronyc rekey. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Установленная версия, сборка ОС, часы и сеть конкретного узла не проверялись. Команды и настройки здесь описаны как предмет проектной проверки, а не как выполненные действия.
Запросы отправляются на наш e-mail из вашей почтовой программы.
