Ləğv edilmiş müştəri yenə qoşulur: siyahı heç vaxt çatmadı

Ləğv etmə heç vaxt işləyən tunelin içinə girib sessiyanı silmir. Siyahı sertifikat yoxlamasına giriş məlumatıdır və TLS sessiyasını başladan idarəetmə kanalı mübadiləsi zamanı nəzərə alınır. Bu tək fakt hər iki sürprizi izah edir: ləğv edilmiş müştəri yenidən qoşulur, çünki siyahı heç vaxt yoxlayıcıya çatmadı, mövcud sessiya isə davam edir, çünki heç kim heç nəyi yenidən yoxlamadı.

Siyahı giriş məlumatıdır, əməl deyil

Sessiya qurularkən server müştəri sertifikatını öz etimad ankerlərinə qarşı yoxlayır və ləğv direktivi bu qərara siyahı baxışını əlavə edir. Yoxlama serverdə baş verir, ona görə müştəri sertifikatının ləğv edildiyini görə bilmir və eyni sertifikatı təklif etməyə davam edir. Buna görə hələ də qoşulan profil yalnız hansısa yoxlayıcının zənciri qəbul etdiyini sübut edir, ləğvetmənin uğursuz olduğunu yox.

Siyahının özü buraxılış tarixi və növbəti yenilənmə tarixi olan imzalanmış obyektdir. Əlaqəsiz siyahı, başqa orqan tərəfindən imzalanmış siyahı və ya növbəti yenilənmə tarixi keçmiş siyahı cari siyahının əvəzi deyil və köhnəlmiş siyahının rədd edilib-edilməməsi yerləşdirmədən asılıdır.

Yeni bağlantı və işləyən sessiya

Ləğvetmə sessiya qurulanda və ya yenidən danışıqda qiymətləndirilir, hər paketdə məlumat kanalına qarşı yox. Artıq qoşulmuş müştəri trafik açarlarına sahibdir, ona görə sertifikatı siyahıda göründükdən sonra da paketləri keçirməyə davam edir. Standart yenidən danışıq intervalı saatlarla ölçülür, buna görə yenilənmiş siyahı yeni gələnlər üçün qüvvəyə minə bilər, işləyən tunel isə ayaqda qalır.

Dərhal tətbiq siyahının özündən çox məqsədli bir hərəkət tələb edir. Xidmətin yenidən başladılması hər müştərini yenidən qoşulmağa məcbur edir, idarəetmə interfeysi vasitəsilə bir sessiyanın dayandırılması isə digərlərinə toxunmur. Hər hadisə üçün birini seçin və hansını istifadə etdiyinizi qeyd edin. İki variantın təsir dairəsi fərqlidir və əsl qərar budur.

Yoxlayıcının həqiqətən oxuduğu faylı çatdırın

Siyahı orqanın qeydindən yaradılmalı və sonra sertifikatları yoxlayan hər maşına köçürülməlidir. Onu CA hostunda yaradıb serverə heç vaxt quraşdırmamaq ən çox rast gəlinən nasazlıqdır və o, tam qırıq ləğvetmə funksiyası kimi görünür.

ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pem

Faylın həqiqətən oxunub-oxunmadığını iki detal həll edir. Nisbi yol konfiqurasiya qovluğuna görə həll olunur, ona görə operatorun ev qovluğunda qalan kopya heç vaxt tapılmaya bilər. Və daemon adətən startdan sonra imtiyazlardan imtina edir, ona görə işləmə hesabı hər üst qovluqda axtarış icazəsinə, faylda isə oxu icazəsinə ehtiyac duyur. Hər ikisini root ilə deyil, işləmə hesabı ilə yoxlayın, əks halda test səhv şeyi sübut edir.

systemd hostlarında sərtləşdirilmiş unit yolu da gizlədə bilər: yalnız oxuma görünüşü və ya qorunan sistem qovluğu ilə. Xidmətin içindən bu, çatışmayan fayldan fərqlənmir, ona görə icazə səhvini axtarmazdan əvvəl unitin məhdudiyyətlərinə baxın. Faylın rejimini günahlandırmazdan əvvəl unit faylını oxuyun.

Müştəridə deyil, serverdə təsdiqləyin

Server jurnalı nə baş verdiyini adlandırır: siyahının açılması, yüklənməsi və ya ləğv edilmiş seriya ilə yoxlamanın uğursuzluğu. Müştəri yalnız ümumi handshake nasazlığı bildirir, buna görə müştəri jurnalları ləğvetmə qərarı axtarmaq üçün pis yerdir.

Ləğv edilmiş profildən yeni cəhd ilə yoxlayın və dayanın. Həmin profildən uğurlu bağlantı fayl yolunu və işləmə hesabını yoxlamaq üçün siqnaldır, siyahının səhv olduğunu güman etmək üçün deyil. Həmin uğurlu cəhdi qəbul testi kimi saxlayın və izləmədiyiniz yenidən qoşulmanı saymayın.

Nəyi heç nə ləğv etmir

Profili noutbukdan silmək, sertifikat faylını müştəridən çıxarmaq və ya istifadəçiyə qoşulmağı dayandırmağı demək serverdə heç nəyi dəyişmir. Sertifikat orqan ləğvetməni qeydə alana və yoxlayıcı nəticədə yaranan siyahını oxuyana qədər qüvvədə qalır.

Zənciri yazmağa dəyər edən də budur: ləğvetməni qeyd edin, siyahını yaradın və imzalayın, həmin faylı paylayın və xidmət hesabının onu oxuya bildiyini təsdiqləyin. Hər halqa qısadır və hər hansı birinin olmaması ləğv edilmiş müştərini sevinclə qoşulmağa qoyur. Dörd sətirlik yoxlama siyahısı heç nəyi olmayan fərziyyədən yaxşıdır.