Suspendeer een OpenVPN-kliënt sonder om sy sertifikaat te herroep

Wanneer 'n skootrekenaar vir 'n week na 'n herstelbank gaan, is die gewone instink om sy sertifikaat uit die CA te verwyder. Daardie rekord is die uitgewer se grootboek, nie 'n tydelike toegangskakelaar nie. OpenVPN het reeds 'n per-kliënt meganisme om 'n verbinding te weier, en om dit te gebruik hou die CA se geskiedenis ongeskonde. Die twee kontroles beantwoord verskillende vrae, en om hulle te vermeng skep werk wanneer die toestel terugkeer.

Twee rekords, twee verskillende take

Die CA-databasis teken aan wat die uitgewer onderteken het en wat hy later herroep het. Dit word geraadpleeg deur herroepingsprosesse en deur enigiets wat die CRL of sy eie kopie van die grootboek lees. 'n Toegangsreël leef op die bediener en geld vir die verbindings wat daardie bediener aanvaar.

Om 'n uitreikingsrekord te verwyder herroep nie betroubaar 'n sertifikaat nie, en dit beskadig die geskiedenis waarvan latere herroeping of ouditering afhanklik is. Die bedienerkant-beheer is smaller en omkeerbaar. Skryf die verskil in die veranderingsnota sodat die volgende persoon nie gaan soek na 'n herroeping wat nooit gebeur het nie.

Plaas die deaktiveer-riglyn in die regte lêer

Vir 'n gemeenskapbediener wat kliëntspesifieke konfigurasie gebruik, weier die gedokumenteerde disable-riglyn een gekose kliënt. Dit hoort in daardie kliënt se lêer onder die aktiewe client-config-dir, nie in die hoofbedienerkonfigurasie nie. Bevestig die gids wat die lopende daemon werklik gebruik, en bevestig dan die identiteit wat die lêer kies. 'n Lêer wat na die verkeerde algemene naam vernoem is, lyk korrek en word nooit gelees nie.

disable

Kaartkeuses maak hier saak. Opsies soos username-as-common-name verander watter identiteit die opsoek gebruik, so 'n lêer wat vir die sertifikaatonderwerp vernoem is, is dalk nie die een wat toegepas word nie. Lees die OpenVPN-verwysing vir die geïnstalleerde weergawe eerder as om te aanvaar dat 'n riglyn in elke konteks geldig is.

Skei nuwe toegang van lewendige sessies

Om die volgende handdruk te weier beëindig nie 'n tonnel wat reeds op is nie. As die toestel nou ontkoppel moet word, gebruik ook die bediener se gemagtigde sessiebestuurspad vir daardie spesifieke sessie. Anders kan die kliënt aanhou werk totdat hy self weer verbind, en om die skootrekenaar se deksel toe te maak of die kliënt te sluit is 'n kliëntkant-aksie wat jou niks oor die bediener sê nie.

Verifieer beide uitkomste: die lewendige sessie stop wanneer jy dit bedoel, en 'n nuwe handdruk word geweier. 'n Geslote kliëntvenster bewys niks oor die bediener se beleid nie.

As die ontplooiing geen ondersteunde manier het om 'n lewendige sessie te beëindig nie, teken daardie gaping aan eerder as om een te improviseer. 'n Geblokkeerde poort op die kliënt is nie dieselfde as 'n bedienerkant-beleid nie.

Pouse en kompromittering is verskillende gebeurtenisse

'n Verlore of gesteelde sleutel is 'n herroepingsgebeurtenis, en 'n plaaslike toegangspouse vervang dit nie. Ander bedieners wat dieselfde CA vertrou, sal nie hierdie bediener se kliëntspesifieke reël deel nie. Volg die uitgewer se herroepings- en vervangingsproses, en hou die CA-databasis as die gesaghebbende rekord. 'n Tydelike pouse, daarenteen, benodig 'n gedokumenteerde rede en 'n herstelstap.

Wanneer toegang herstel word, verwyder die beperking deur die komponent wat dit besit en bevestig dat 'n nuwe verbinding slaag. Teken ook die disable-lyn se pad aan, want 'n latere konfigurasiesinkronisering kan dit stilweg terugplaas. Hou die pouse, sy eienaar en die datum in die ontplooiingsnotas, sodat die volgende administrateur nie maande later 'n onverklaarde disable-lyn vind nie.