Cleient wedi’i ddirymu yn dal i gysylltu: ni chyrhaeddodd y rhestr erioed

Nid yw dirymu byth yn cyrraedd i mewn i dwnel sy’n rhedeg i ddileu sesiwn. Mae’r rhestr yn fewnbwn i wirio tystysgrif ac fe’i hystyried yn ystod cyfnewid y sianel reoli sy’n dechrau sesiwn TLS. Mae’r un ffaith hon yn esbonio’r ddau syndod: mae cleient wedi’i ddirymu yn ailgysylltu oherwydd ni chyrhaeddodd y rhestr y gwiriedydd erioed, ac mae sesiwn bresennol yn goroesi oherwydd na wnaeth neb ailwirio unrhyw beth.

Mewnbwn yw rhestr, nid gweithred

Wrth osod sesiwn mae’r gweinydd yn gwirio tystysgrif y cleient yn erbyn ei angorau ymddiriedaeth, ac mae’r gorchymyn dirymu yn ychwanegu chwiliad rhestr at y penderfyniad hwnnw. Mae’r prawf yn digwydd ar y gweinydd, felly ni all y cleient weld bod ei dystysgrif wedi’i ddirymu ac mae’n dal i gynnig yr un un. Felly dim ond profi bod rhyw wiriedydd wedi derbyn y gadwyn mae proffil sy’n dal i gysylltu yn ei wneud, nid bod dirymu wedi methu.

Mae’r rhestr ei hun yn wrthrych wedi’i lofnodi gyda dyddiad cyhoeddi a dyddiad diweddaru nesaf. Nid yw rhestr ddieithr, un wedi’i llofnodi gan awdurdod gwahanol neu un y mae ei dyddiad diweddaru nesaf wedi pasio yn cymryd lle’r un bresennol, ac mae a yw rhestr hen yn cael ei gwrthod neu ei derbyn yn dawel yn dibynnu ar y defnydd a wneir ohoni.

Cysylltiad newydd yn erbyn sesiwn sy’n rhedeg

Mae dirymu yn cael ei werthuso pan fydd sesiwn yn cael ei sefydlu neu ei hailnegodi, nid yn erbyn y sianel ddata ar bob pecyn. Mae cleient sydd eisoes wedi cysylltu yn dal allweddi traffig, felly mae’n parhau i basio pecynnau ar ôl i’w dystysgrif ymddangos ar y rhestr. Mae’r cyfwng ailnegodi rhagosodedig yn cael ei fesur mewn oriau, a dyna pam y gall rhestr wedi’i diweddaru ddod i rym i ddechreuwyr tra bod twnel sy’n rhedeg yn aros.

Mae gorfodi ar unwaith yn gofyn am weithred fwriadol yn hytrach na’r rhestr yn unig. Mae ailgychwyn y gwasanaeth yn gorfodi pob cleient i ailgysylltu, tra bo terfynu un sesiwn trwy’r rhyngwyneb rheoli yn gadael y lleill heb eu cyffwrdd. Dewiswch un fesul digwyddiad a nodwch pa un a ddefnyddiwyd. Mae gan y ddau opsi effaith wahanol o ran maint, a dyna’r penderfyniad go iawn.

Danfonwch y ffeil y mae’r gwiriedydd wir yn ei darllen

Rhaid cynhyrchu’r rhestr o gofnod yr awdurdod ac yna ei chopïo i bob peiriant sy’n gwirio tystysgrifau. Cynhyrchu ar weinydd CA a pheidio byth â’i osod ar y gweinydd yw’r methiant mwyaf cyffredin, ac mae’n edrych yn union fel nodwedd ddirymu wedi torri.

ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pem

Mae dau fanylyn yn penderfynu a yw’r ffeil yn cael ei darllen mewn gwirionedd. Mae llwybr cymharol yn cael ei ddatrys yn erbyn y cyfeiriadur cyfluniad, felly efallai na fydd copi a adawyd yng nghartref gweithredwr byth yn cael ei ganfod. Ac mae’r daemon fel arfer yn gollwng breintiau ar ôl cychwyn, felly mae ar y cyfrif rhedeg angen caniatâd chwilio ar bob cyfeiriadur rhiant yn ogystal â chaniatâd darllen ar y ffeil. Gwiriwch y ddau gyda’r cyfrif rhedeg yn hytrach nag â root, neu mae’r prawf yn profi’r peth anghywir.

Ar westeiwyr systemd gall uned galedu guddio’r llwybr hefyd, gyda golwg darllen-yn-unig neu gyfeiriadur system gwarchodedig. O fewn y gwasanaeth mae hynny’n amhosibl ei wahaniaethu oddi wrth ffeil ar goll, felly gwiriwch gyfyngiadau’r uned cyn mynd i chwilio am gamgymeriad caniatâd. Darllenwch ffeil yr uned cyn beio modd y ffeil.

Cadarnhewch ar y gweinydd, nid ar y cleient

Mae log y gweinydd yn enwi beth ddigwyddodd: agor y rhestr, ei llwytho, neu fethu gwirio gyda’r rhif cyfresol a ddirymwyd. Dim ond methiant handshake cyffredinol y mae’r cleient yn ei adrodd, a dyna pam mae logiau’r cleient yn lle gwael i chwilio am benderfyniad dirymu.

Gwiriwch gydag ymdrech newydd o’r proffil a ddirymwyd ac yna stopiwch. Mae cysylltiad llwyddiannus o’r proffil hwnnw yn arwydd i archwilio llwybr y ffeil a’r cyfrif rhedeg, nid i dybio bod y rhestr yn anghywir. Cadwch yr ymdrech lwyddiannus honno fel prawf derbyn, a pheidiwch â chyfrif ailgysylltiad na wnaethoch ei wylio.

Beth nad yw’n dirymu dim

Nid yw dileu’r proffil o liniadur, tynnu’r ffeil dystysgrif o’r cleient na dweud wrth y defnyddiwr i stopio cysylltu yn newid dim ar y gweinydd. Mae’r dystysgrif yn parhau’n ddilys nes bod yr awdurdod yn cofnodi’r dirymu a’r gwiriedydd yn darllen y rhestr sy’n deillio.

Dyna hefyd pam mae’r gadwyn yn werth ei hysgrifennu: cofnodwch y dirymu, cynhyrchwch a llofnodwch y rhestr, dosbarthwch yr union ffeil honno, a chadarnhewch y gall cyfrif y gwasanaeth ei darllen. Mae pob dolen yn fyr, ac mae unrhyw un ar goll yn gadael cleient a ddirymwyd yn cysylltu’n hapus. Mae rhestr wirio pedair llinell yn well na thybiaeth heb yr un.