Atal un cleient OpenVPN heb ddirymu ei dystysgrif

Pan fydd gliniadur yn mynd i'r fainc atgyweirio am wythnos, y reddf arferol yw tynnu ei dystysgrif o'r CA. Cofnod yr awdurdod dyroddi yw hwnnw, nid switsh mynediad dros dro. Mae gan OpenVPN eisoes fecanwaith fesul cleient ar gyfer gwrthod cysylltiad, ac mae ei ddefnyddio yn cadw hanes y CA yn gyfan. Mae'r ddau reolaeth yn ateb cwestiynau gwahanol, ac mae eu cymysgu yn creu gwaith pan ddaw'r ddyfais yn ôl.

Dau gofnod, dwy swydd wahanol

Mae cronfa ddata'r CA yn cofnodi'r hyn a arwyddodd yr awdurdod dyroddi a'r hyn a ddirymodd wedyn. Mae llifoedd gwaith dirymu a phopeth sy'n darllen y CRL neu ei gopi ei hun o'r gofrestr yn ymgynghori â hi. Mae rheol fynediad yn byw ar y gweinydd ac yn berthnasol i'r cysylltiadau y mae'r gweinydd hwnnw yn eu derbyn.

Nid yw dileu cofnod dyroddi yn dirymu tystysgrif yn ddibynadwy, ac mae'n niweidio'r hanes y mae dirymu neu archwiliad diweddarach yn dibynnu arno. Mae'r rheolaeth ar ochr y gweinydd yn gulach ac yn gildroadwy. Ysgrifennwch y gwahaniaeth yn y nodyn newid fel na fydd y person nesaf yn chwilio am ddirymiad na ddigwyddodd erioed.

Rhowch y gyfarwyddeb analluogi yn y ffeil gywir

Ar gyfer gweinydd cymunedol sy'n defnyddio cyfluniad penodol i'r cleient, mae'r gyfarwyddeb disable a gofnodwyd yn gwrthod un cleient a ddewiswyd. Mae'n perthyn yn ffeil y cleient hwnnw o dan y client-config-dir gweithredol, nid yng nghyfluniad prif y gweinydd. Cadarnhewch y cyfeiriadur y mae'r daemon sy'n rhedeg yn ei ddefnyddio mewn gwirionedd, ac yna cadarnhewch y hunaniaeth sy'n dewis y ffeil. Mae ffeil a enwir ar ôl yr enw cyffredin anghywir yn edrych yn gywir ac ni chaiff ei darllen byth.

disable

Mae dewisiadau mapio yn bwysig yma. Mae opsiynau fel username-as-common-name yn newid pa hunaniaeth y mae'r chwiliad yn ei defnyddio, felly efallai nad y ffeil a enwir ar ôl pwnc y dystysgrif yw'r un a gymhwysir. Darllenwch gyfeirlyfr OpenVPN ar gyfer y fersiwn sydd wedi'i osod yn lle tybio bod cyfarwyddeb yn ddilys ym mhob cyd-destun.

Gwahanwch fynediad newydd oddi wrth sesiynau byw

Nid yw gwrthod yr ysgwyd llaw nesaf yn dod â thwnnel sydd eisoes i fyny i ben. Os rhaid datgysylltu'r ddyfais nawr, defnyddiwch hefyd lwybr rheoli sesiynau awdurdodedig y gweinydd ar gyfer y sesiwn benodol honno. Fel arall gall y cleient barhau i weithio nes iddo ailgysylltu ei hun, ac mae cau clawr y gliniadur neu adael y cleient yn weithred ar ochr y cleient nad yw'n dweud dim am y gweinydd.

Gwiriwch y ddau ganlyniad: mae'r sesiwn fyw yn stopio pan fyddwch am iddi, ac mae ysgwyd llaw newydd yn cael ei wrthod. Nid yw ffenestr cleient wedi'i chau yn profi dim am bolisi'r gweinydd.

Os nad oes gan y defnydd unrhyw ffordd gefnogol o derfynu sesiwn fyw, cofnodwch y bwlch hwnnw yn lle dyfeisio un. Nid yw porth wedi'i rwystro ar y cleient yr un peth â pholisi ar ochr y gweinydd.

Mae saib a chyfaddawd yn ddigwyddiadau gwahanol

Mae allwedd goll neu wedi'i dwyn yn ddigwyddiad dirymu, ac nid yw saib mynediad lleol yn cymryd ei le. Ni fydd gweinyddion eraill sy'n ymddiried yn yr un CA yn rhannu rheol benodol y cleient hwn. Dilynwch broses ddirymu ac amnewid yr awdurdod dyroddi a chadwch gronfa ddata'r CA fel y cofnod awdurdodol. Mae saib dros dro, yn hytrach, angen rheswm wedi'i gofnodi a cham adfer.

Pan adferir mynediad, tynnwch y cyfyngiad trwy'r gydran sy'n berchen arno a chadarnhewch fod cysylltiad newydd yn llwyddiant. Cofnodwch lwybr y llinell disable hefyd, oherwydd gall sychroniad cyfluniad diweddarach ei rhoi yn ôl yn dawel. Cadwch y saib, ei pherchennog a'r dyddiad yn nodiadau'r defnydd, fel na fydd y gweinyddwr nesaf yn dod o hyd i linell disable heb esboniad fisoedd yn ddiweddarach.