تعليق عميل OpenVPN واحد دون إبطال شهادته

عندما يذهب حاسوب محمول إلى طاولة إصلاح لأسبوع، فالغريزة المعتادة هي إزالة شهادته من سلطة الشهادات. ذلك السجل هو دفتر المُصدر، وليس مفتاح دخول مؤقتًا. OpenVPN يمتلك أصلًا آلية خاصة بكل عميل لرفض اتصال، واستخدامها يحفظ تاريخ سلطة الشهادات سليمًا. الضابطتان تجيبان عن سؤالين مختلفين، وخلطهما يخلق عملًا إضافيًا عند عودة الجهاز.

سجلان ومهمتان مختلفتان

يسجّل قاعدة بيانات سلطة الشهادات ما وقّعه المُصدر وما أبطله لاحقًا. وترجع إليه مسارات الإبطال وكل ما يقرأ قائمة إبطال الشهادات أو نسخته الخاصة من الدفتر. أما قاعدة الدخول فتعيش على الخادم وتنطبق على الاتصالات التي يقبلها ذلك الخادم.

حذف سجل إصدار لا يُبطل شهادة بشكل موثوق، بل يضر بالتاريخ الذي تعتمد عليه عمليات الإبطال أو التدقيق اللاحقة. الضابط على جانب الخادم أضيق نطاقًا وقابل للعكس. اكتب الفرق في مذكرة التغيير حتى لا يبحث الشخص التالي عن إبطال لم يحدث قط.

ضع توجيه التعطيل في الملف الصحيح

بالنسبة لخادم مجتمعي يستخدم إعدادًا خاصًا بكل عميل، فإن التوجيه الموثّق disable يرفض عميلًا واحدًا محددًا. ومكانه ملف ذلك العميل داخل client-config-dir النشط، لا في إعداد الخادم الرئيسي. تأكد من الدليل الذي يستخدمه البرنامج الخفي العامل فعلًا، ثم تأكد من الهوية التي تختار الملف. ملف مُسمّى باسم عام خاطئ يبدو صحيحًا ولا يُقرأ أبدًا.

disable

اختيارات التعيين تهم هنا. خيارات مثل username-as-common-name تغيّر الهوية التي يستخدمها البحث، لذا قد لا يكون الملف المُسمّى باسم موضوع الشهادة هو الملف المطبّق. اقرأ مرجع OpenVPN الخاص بالإصدار المثبّت بدلًا من افتراض أن توجيهًا صالح في كل سياق.

افصل القبول الجديد عن الجلسات النشطة

رفض المصافحة التالية لا ينهي نفقًا قائمًا بالفعل. إذا كان يجب فصل الجهاز الآن، فاستخدم أيضًا مسار إدارة الجلسات المصرّح به على الخادم لتلك الجلسة تحديدًا. وإلا فقد يستمر العميل في العمل حتى يعيد الاتصال من تلقاء نفسه، وإغلاق غطاء الحاسوب أو الخروج من العميل فعل من جانب العميل لا يخبرك شيئًا عن الخادم.

تحقق من النتيجتين: تتوقف الجلسة النشطة عندما تريد ذلك، وتُرفض مصافحة جديدة. نافذة عميل مغلقة لا تثبت شيئًا عن سياسة الخادم.

إذا لم يكن لدى النشر طريقة مدعومة لإنهاء جلسة نشطة، فسجّل تلك الثغرة بدلًا من ابتكار واحدة. منفذ محظور على العميل ليس مماثلًا لسياسة على جانب الخادم.

التعليق المؤقت والاختراق حدثان مختلفان

مفتاح مفقود أو مسروق هو حدث إبطال، وليس تعليق الدخول المحلي بديلًا عنه. الخوادم الأخرى التي تثق بنفس سلطة الشهادات لن تشارك قاعدة هذا الخادم الخاصة بالعميل. اتبع عملية الإبطال والاستبدال لدى المُصدر، واحتفظ بقاعدة بيانات سلطة الشهادات كسجل مرجعي. أما التعليق المؤقت، فيحتاج إلى سبب موثّق وخطوة استعادة.

عند استعادة الوصول، أزل القيد عبر المكوّن الذي يملكه وتأكد من نجاح اتصال جديد. سجّل أيضًا مسار سطر التعطيل، لأن مزامنة إعداد لاحقة قد تعيده بهدوء. احتفظ بالتعليق ومالكه والتاريخ في ملاحظات النشر، حتى لا يجد المسؤول التالي سطر تعطيل غير مفسّر بعد أشهر.