Bir OpenVPN müştərisini sertifikatını ləğv etmədən dayandırın

Noutbuk bir həftəlik təmir masasına gedəndə adətən sertifikatı CA-dan silmək istəyi yaranır. Bu qeyd buraxanın reyestridir, müvəqqəti giriş açarı deyil. OpenVPN artıq bağlantını rədd etmək üçün hər müştəriyə xas mexanizmə malikdir və ondan istifadə CA tarixçəsini toxunulmaz saxlayır. İki nəzarət fərqli suallara cavab verir və onları qarışdırmaq cihaz qayıdanda iş yaradır.

İki qeyd, iki fərqli vəzifə

CA verilənlər bazası buraxanın nə imzaladığını və sonra nəyi ləğv etdiyini qeyd edir. Ona ləğvetmə axınları və CRL-i və ya reyestrin öz nüsxəsini oxuyan hər şey müraciət edir. Qəbul qaydası isə serverdə yaşayır və həmin serverin qəbul etdiyi bağlantılara tətbiq olunur.

Buraxılış qeydini silmək sertifikatı etibarlı şəkildə ləğv etmir və sonrakı ləğvetmə və ya auditin asılı olduğu tarixçəyə ziyan vurur. Server tərəfindəki nəzarət daha dardır və geri qaytarıla biləndir. Fərqi dəyişiklik qeydinə yazın ki, növbəti şəxs heç vaxt baş verməmiş ləğvetmə axtarmasın.

Deaktivasiya təlimatını düzgün fayla yerləşdirin

Müştəriyə xas konfiqurasiya istifadə edən icma serveri üçün sənədləşdirilmiş disable təlimatı seçilmiş bir müştərini rədd edir. O, aktiv client-config-dir altındakı həmin müştərinin faylında olmalıdır, əsas server konfiqurasiyasında deyil. İşləyən demonun faktiki istifadə etdiyi kataloqu yoxlayın, sonra faylı seçən kimliyi təsdiqləyin. Səhv ümumi adla adlandırılmış fayl düzgün görünür və heç vaxt oxunmur.

disable

Xəritələmə seçimləri burada vacibdir. username-as-common-name kimi seçimlər axtarışın hansı kimliyi istifadə etdiyini dəyişir, buna görə sertifikat subyektinin adını daşıyan fayl tətbiq olunan fayl olmaya bilər. Quraşdırılmış versiya üçün OpenVPN arayışını oxuyun, təlimatın hər kontekstdə etibarlı olduğunu güman etməyin.

Yeni qəbulu canlı sessiyalardan ayırın

Növbəti əl sıxışmanı rədd etmək artıq qurulmuş tuneli bitirmir. Cihaz indi ayrılmalıdırsa, həmin sessiya üçün serverin icazəli sessiya idarəetmə yolunu da istifadə edin. Əks halda müştəri özü yenidən qoşulana qədər işləməyə davam edə bilər və noutbukun qapağını bağlamaq və ya müştəridən çıxmaq server haqqında heç nə deməyən müştəri tərəfi hərəkətidir.

Hər iki nəticəni yoxlayın: canlı sessiya nəzərdə tutduğunuz vaxt dayanır və yeni əl sıxışma rədd edilir. Bağlanmış müştəri pəncərəsi serverin siyasəti haqqında heç nə sübut etmir.

Yerləşdirmənin canlı sessiyanı bitirmək üçün dəstəklənən yolu yoxdursa, onu uydurmaq əvəzinə bu boşluğu qeyd edin. Müştəridə bloklanmış port server tərəfindəki siyasətlə eyni şey deyil.

Fasilə və kompromis fərqli hadisələrdir

İtirilmiş və ya oğurlanmış açar ləğvetmə hadisəsidir və lokal giriş fasiləsi onu əvəz etmir. Eyni CA-ya etibar edən digər serverlər bu serverin müştəriyə xas qaydasını paylaşmayacaq. Buraxanın ləğvetmə və dəyişdirmə prosesinə əməl edin və CA verilənlər bazasını səlahiyyətli qeyd kimi saxlayın. Müvəqqəti fasilə isə sənədləşdirilmiş səbəb və bərpa addımı tələb edir.

Giriş bərpa edildikdə məhdudiyyəti ona sahib olan komponent vasitəsilə götürün və yeni bağlantının uğur qazandığını təsdiqləyin. disable sətrinin yolunu da qeyd edin, çünki sonrakı konfiqurasiya sinxronizasiyası onu səssizcə geri qaytara bilər. Fasiləni, sahibini və tarixi yerləşdirmə qeydlərində saxlayın ki, növbəti administrator aylar sonra izahsız bir disable sətri tapmasın.