Sæt én OpenVPN-klient på pause uden at tilbagekalde dens certifikat

Når en bærbar computer kommer en uge på værkstedsbordet, er det sædvanlige instinkt at fjerne dens certifikat fra CA'en. Den post er udstederens protokol, ikke en midlertidig adgangskontakt. OpenVPN har allerede en mekanisme for hver klient til at afvise en forbindelse, og brug af den holder CA'ens historik intakt. De to kontroller besvarer forskellige spørgsmål, og at blande dem skaber arbejde, når enheden kommer tilbage.

To protokoller, to forskellige opgaver

CA'ens database registrerer, hvad udstederen har signeret, og hvad den senere har tilbagekaldt. Den konsulteres af tilbagekaldelsesprocesser og af alt, der læser CRL'en eller sin egen kopi af protokollen. En adgangsregel lever på serveren og gælder for de forbindelser, serveren accepterer.

At slette en udstedelsespost tilbagekalder ikke et certifikat pålideligt, og det skader den historik, som senere tilbagekaldelse eller revision afhænger af. Kontrollen på serversiden er snævrere og reversibel. Skriv forskellen i ændringsnoten, så den næste person ikke leder efter en tilbagekaldelse, der aldrig fandt sted.

Anbring deaktiveringsdirektivet i den rigtige fil

For en fællesskabsserver, der bruger klientspecifik konfiguration, afviser det dokumenterede disable-direktiv én valgt klient. Det hører i den klients fil under den aktive client-config-dir, ikke i serverens hovedkonfiguration. Bekræft den mappe, den kørende daemon faktisk bruger, og bekræft derefter den identitet, der vælger filen. En fil opkaldt efter det forkerte common name ser rigtig ud og bliver aldrig læst.

disable

Valg af mapping betyder noget her. Indstillinger som username-as-common-name ændrer, hvilken identitet opslaget bruger, så en fil opkaldt efter certifikatets emne er måske ikke den, der anvendes. Læs OpenVPN-referenceværket for den installerede version i stedet for at antage, at et direktiv er gyldigt i enhver sammenhæng.

Adskil ny adgang fra aktive sessioner

At afvise det næste håndtryk afslutter ikke en tunnel, der allerede er oppe. Hvis enheden skal afbrydes nu, skal du også bruge serverens autoriserede sessionsstyringsvej for netop den session. Ellers kan klienten fortsætte med at arbejde, indtil den selv genopretter forbindelsen, og at lukke computerens låg eller afslutte klienten er en handling på klientsiden, som ikke siger noget om serveren.

Bekræft begge udfald: den aktive session stopper, når du vil, og et nyt håndtryk afvises. Et lukket klientvindue beviser intet om serverens politik.

Hvis udrulningen ikke har en understøttet måde at afslutte en aktiv session på, så registrér det hul i stedet for at improvisere en. En blokeret port på klienten er ikke det samme som en politik på serversiden.

Pause og kompromittering er forskellige hændelser

En mistet eller stjålet nøgle er en tilbagekaldelseshændelse, og en lokal adgangspause erstatter den ikke. Andre servere, der stoler på samme CA, deler ikke denne servers klientspecifikke regel. Følg udstederens tilbagekaldelses- og udskiftningsproces, og hold CA'ens database som den autoritative post. En midlertidig pause kræver derimod en dokumenteret grund og et genopretningstrin.

Når adgangen er genoprettet, fjern begrænsningen via den komponent, der ejer den, og bekræft, at en ny forbindelse lykkes. Registrér også disable-linjens sti, fordi en senere konfigurationssynkronisering kan sætte den tilbage i det stille. Gem pausen, dens ejer og datoen i udrulningsnotaterne, så den næste administrator ikke finder en uforklaret disable-linje måneder senere.