Прыпыніць аднаго кліента OpenVPN, не адклікаючы яго сертыфікат

Калі ноўтбук на тыдзень трапляе на рамонтны стол, звычайны інстынкт — выдаліць яго сертыфікат з CA. Гэты запіс — рэестр эмітэнта, а не часовы перамыкач допуску. OpenVPN ужо мае механізм для кожнага кліента, каб адмаўляць у злучэнні, і яго выкарыстанне захоўвае гісторыю CA цэлай. Дзве кіравальныя прылады адказваюць на розныя пытанні, і іх змешванне стварае працу, калі прылада вяртаецца.

Два запісы, дзве розныя задачы

База даных CA фіксуе, што эмітэнт падпісаў і што ён пазней адклікаў. Да яе звяртаюцца працэсы адклікання і ўсё, што чытае CRL ці ўласную копію рэестра. Правіла допуску жыве на серверы і дзейнічае для злучэнняў, якія гэты сервер прымае.

Выдаленне запісу аб выпуску не адклікае сертыфікат надзейна і пашкоджвае гісторыю, ад якой залежаць пазнейшае адкліканне або аўдыт. Кіраванне на баку сервера вузейшае і зваротнае. Запішыце розніцу ў нататку пра змену, каб наступны чалавек не шукаў адкліканне, якога ніколі не было.

Змесціце дырэктыву адключэння ў правільны файл

Для супольнага сервера, які выкарыстоўвае канфігурацыю для пэўнага кліента, дакументаваная дырэктыва disable адмаўляе аднаму выбранаму кліенту. Яна належыць у файл гэтага кліента ў актыўным client-config-dir, а не ў галоўную канфігурацыю сервера. Праверце каталог, які фактычна выкарыстоўвае працуючы дэман, затым пацвердзіце асобу, якая выбірае файл. Файл, названы па няправільным агульным імені, выглядае правільным і ніколі не чытаецца.

disable

Выбар супастаўлення тут важны. Такія параметры, як username-as-common-name, змяняюць асобу, якую выкарыстоўвае пошук, таму файл, названы па суб'екту сертыфіката, можа не быць ужыты. Чытайце даведнік OpenVPN для ўсталяванай версіі, а не мяркуйце, што дырэктыва слушная ва ўсіх кантэкстах.

Аддзяліце новы допуск ад актыўных сесій

Адмова ў наступным рукапацісканні не завяршае тунель, які ўжо ўзняты. Калі прыладу трэба адключыць зараз, выкарыстайце таксама дазволены шлях кіравання сесіямі сервера для гэтай пэўнай сесіі. Інакш кліент можа працягваць працу, пакуль сам не перападключыцца, а закрыццё вечка ноўтбука або выхад з кліента — гэта дзеянне на баку кліента, якое нічога не кажа пра сервер.

Праверце абодва вынікі: актыўная сесія спыняецца тады, калі вы гэтага хочаце, і новае рукапацісканне адхіляецца. Закрытае акно кліента нічога не даказвае пра палітыку сервера.

Калі разгортванне не мае падтрыманага спосабу завяршыць актыўную сесію, запішыце гэтую прагаліну, а не выдумляйце яе. Заблакаваны порт на кліенце — не тое ж самае, што палітыка на баку сервера.

Паўза і кампраметацыя — розныя падзеі

Страчаны або выкрадзены ключ — гэта падзея адклікання, і лакальная паўза допуску не замяняе яе. Іншыя серверы, якія давяраюць таму ж CA, не будуць мець гэтага правіла для пэўнага кліента. Выконвайце працэс адклікання і замены эмітэнта і трымайце базу даных CA як аўтарытэтны запіс. Часовая паўза, наадварот, патрабуе дакументаванай прычыны і кроку аднаўлення.

Калі доступ адноўлены, зніміце абмежаванне праз кампанент, які ім валодае, і пацвердзіце, што новае злучэнне ўдалося. Запішыце таксама шлях да радка disable, бо пазнейшая сінхранізацыя канфігурацыі можа ціха яго вярнуць. Трымайце паўзу, яе ўладальніка і дату ў нататках разгортвання, каб наступны адміністратар праз месяцы не знайшоў невытлумачаны радок disable.