Herroepe kliënt konnekteer steeds: die lys het nooit aangekom

Herroeping reik nooit in ’n lopende tonnel in om ’n sessie te verwyder nie. Die lys is ’n inset vir sertifikaatverifikasie en word tydens die beheerkanaal-uitruiling wat ’n TLS-sessie begin, geraadpleeg. Daardie enkele feit verduidelik albei verrassings: ’n herroepe kliënt konnekteer weer omdat die lys nooit die verifieerder bereik het nie, en ’n bestaande sessie oorleef omdat niemand iets herverifieer het nie.

’n Lys is ’n inset, nie ’n aksie nie

Tydens sessie-opstel valideer die bediener die kliëntsertifikaat teen sy vertrouensankers, en die herroepingsopdrag voeg ’n lyssoektog by daardie besluit. Die kontrole gebeur op die bediener, so die kliënt kan nie sien dat sy sertifikaat herroep is nie en hou aan om dieselfde een aan te bied. ’n Profiel wat steeds konnekteer, bewys dus net dat een of ander verifieerder die ketting aanvaar het, nie dat herroeping misluk het nie.

Die lys is self ’n ondertekende objek met ’n uitreikdatum en ’n volgende-opdateringsdatum. ’n Onverwante lys, een wat deur ’n ander owerheid onderteken is of een waarvan die volgende opdatering verstreke is, is nie ’n plaasvervanger vir die huidige een nie, en of ’n verouderde lys verwerp of stilweg aanvaar word, hang van die ontplooiing af.

Nuwe verbinding teenoor lopende sessie

Herroeping word geëvalueer wanneer ’n sessie gevestig of heronderhandel word, nie teen die datakanaal op elke pakkie nie. ’n Kliënt wat reeds gekonnekteer is, hou verkeersleutels en bly dus pakkies deurlaat nadat sy sertifikaat op die lys verskyn. Die verstek-heronderhandelingsinterval word in ure gemeet, en daarom kan ’n opgedateerde lys vir nuwekomelinge in werking tree terwyl ’n lopende tonnel bly staan.

Onmiddellike afdwinging vereis ’n doelbewuste handeling eerder as net die lys. Om die diens te herbegin, dwing elke kliënt om weer te konnekteer, terwyl die beëindiging van een sessie deur die bestuurskoppelvlak die ander onaangeraak laat. Kies een per voorval en noteer watter een jy gebruik het. Die twee opsies het verskillende impak en dit is die werklike besluit.

Voorsien die lêer wat die verifieerder werklik lees

Die lys moet uit die owerheid se rekord gegenereer en dan na elke masjien wat sertifikate verifieer, gekopieer word. Om dit op die CA-gasheer te genereer en nooit op die bediener te installeer nie, is die algemeenste faling, en dit lyk presies soos ’n stukkende herroepingsfunksie.

ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pem

Twee details bepaal of die lêer werklik gelees word. ’n Relatiewe pad word teen die konfigurasiegids opgelos, so ’n kopie wat in ’n operateur se tuisgids gelaat word, word dalk nooit gevind nie. En die daemon laat gewoonlik na opstart van voorregte afstand doen, so die looptyd-rekening benodig soektoegang op elke ouergids sowel as leestoegang op die lêer. Toets albei met die looptyd-rekening eerder as met root, anders bewys die toets die verkeerde ding.

Op systemd-gashere kan ’n geharde eenheid die pad ook wegsteek, met ’n alleenlees-aansig of ’n beskermde stelselgids. Van binne die diens is dit nie van ’n ontbrekende lêer te onderskei nie, so kyk eers na die eenheid se beperkings voordat jy na ’n toestemmingsfout soek. Lees die eenheidslêer voordat jy die lêer se modus blameer.

Bevestig op die bediener, nie op die kliënt nie

Die bedienerlog noem wat gebeur het: die lys oopmaak, dit laai, of verifikasie met die herroepe reeksnommer faal. Die kliënt rapporteer net ’n generiese handskudfaling, en daarom is kliëntlogs ’n swak plek om na ’n herroepingsbesluit te soek.

Verifieer met ’n vars poging vanaf die herroepe profiel en stop dan. ’n Suksesvolle verbinding vanaf daardie profiel is die teken om die lêerpad en die looptyd-rekening te ondersoek, nie om aan te neem die lys was verkeerd nie. Hou daardie suksesvolle poging as die aanvaardingstoets, en moenie ’n herverbinding tel wat jy nie self gesien het nie.

Wat niks herroep nie

Om die profiel van ’n skootrekenaar te verwyder, die sertifikaatlêer van die kliënt te skrap of die gebruiker te sê om op te hou konnekteer, verander niks op die bediener nie. Die sertifikaat bly geldig totdat die owerheid die herroeping aanteken en die verifieerder die resulterende lys lees.

Dit is ook waarom die ketting die moeite werd is om neer te skryf: teken die herroeping aan, genereer en onderteken die lys, versprei daardie presiese lêer, en bevestig dat die diensrekening dit kan lees. Elke skakel is kort, en enige ontbrekende een laat ’n herroepe kliënt vrolik konnekteer. ’n Kontrolelys met vier reëls klop ’n aanname met geen.