Suspèn un client d'OpenVPN sense revocar-ne el certificat

Quan un portàtil passa una setmana al banc de reparació, l'instint habitual és treure'n el certificat de la CA. Aquest registre és el llibre de l'emissor, no un interruptor temporal d'accés. OpenVPN ja té un mecanisme per client per refusar una connexió, i fer-lo servir manté intacta la història de la CA. Els dos controls responen preguntes diferents, i barrejar-los crea feina quan el dispositiu torna.

Dos registres, dues feines diferents

La base de dades de la CA registra què va signar l'emissor i què va revocar després. La consulten els fluxos de revocació i tot allò que llegeix la CRL o la seva pròpia còpia del registre. Una regla d'accés viu al servidor i s'aplica a les connexions que aquell servidor accepta.

Esborrar un registre d'emissió no revoca un certificat de manera fiable, i malmet la història de la qual depenen la revocació o l'auditoria posteriors. El control del costat del servidor és més estret i reversible. Escriu la diferència a la nota de canvi perquè la persona següent no busqui una revocació que mai va passar.

Posa la directiva de desactivació al fitxer correcte

Per a un servidor comunitari que fa servir configuració específica per client, la directiva documentada disable refusa un client seleccionat. Va al fitxer d'aquell client dins del client-config-dir actiu, no a la configuració principal del servidor. Confirma el directori que fa servir realment el dimoni en execució, i després confirma la identitat que selecciona el fitxer. Un fitxer amb el nom comú equivocat sembla correcte i no es llegeix mai.

disable

Les decisions de mapatge hi tenen pes. Opcions com username-as-common-name canvien quina identitat fa servir la consulta, així que un fitxer amb el nom del subjecte del certificat pot no ser el que s'aplica. Llegeix la referència d'OpenVPN de la versió instal·lada en lloc de suposar que una directiva és vàlida en tots els contextos.

Separa l'admissió nova de les sessions actives

Refusar el proper handshake no acaba un túnel que ja està aixecat. Si el dispositiu s'ha de desconnectar ara, fes servir també la via autoritzada de gestió de sessions del servidor per a aquella sessió concreta. Si no, el client pot continuar treballant fins que es reconnecti sol, i tancar la tapa del portàtil o sortir del client és una acció del costat del client que no diu res del servidor.

Verifica tots dos resultats: la sessió activa s'atura quan vols, i un handshake nou queda denegat. Una finestra de client tancada no demostra res sobre la política del servidor.

Si el desplegament no té cap manera suportada d'acabar una sessió activa, anota aquesta mancança en lloc d'improvisar-ne una. Un port bloquejat al client no és el mateix que una política del costat del servidor.

Pausa i compromís són esdeveniments diferents

Una clau perduda o robada és un esdeveniment de revocació, i una pausa local d'accés no el substitueix. Els altres servidors que confien en la mateixa CA no compartiran aquesta regla específica del client. Segueix el procés de revocació i substitució de l'emissor i manté la base de dades de la CA com a registre autoritatiu. Una pausa temporal, en canvi, necessita un motiu documentat i un pas de restauració.

Quan es restableixi l'accés, treu la restricció pel component que la posseeix i confirma que una connexió nova funciona. Anota també el camí de la línia disable, perquè una sincronització de configuració posterior pot tornar-la a posar en silenci. Guarda la pausa, el seu propietari i la data a les notes de desplegament, perquè el següent administrador no trobi mesos després una línia disable sense explicació.