Einen OpenVPN-Client aussetzen, ohne sein Zertifikat zu widerrufen

Wenn ein Laptop für eine Woche auf den Reparaturtisch kommt, ist der übliche Reflex, sein Zertifikat aus der CA zu entfernen. Dieser Eintrag ist das Register des Ausstellers, kein vorübergehender Zugangsschalter. OpenVPN hat bereits einen Mechanismus pro Client, um eine Verbindung abzulehnen, und seine Nutzung hält die Historie der CA unversehrt. Die beiden Kontrollen beantworten verschiedene Fragen, und ihre Vermischung erzeugt Arbeit, wenn das Gerät zurückkehrt.

Zwei Register, zwei verschiedene Aufgaben

Die CA-Datenbank verzeichnet, was der Aussteller signiert und was er später widerrufen hat. Sie wird von Widerrufsabläufen und von allem befragt, was die CRL oder die eigene Kopie des Registers liest. Eine Zulassungsregel lebt auf dem Server und gilt für die Verbindungen, die dieser Server annimmt.

Das Löschen eines Ausstellungseintrags widerruft ein Zertifikat nicht zuverlässig und beschädigt die Historie, von der späterer Widerruf oder Audits abhängen. Die Kontrolle auf Serverseite ist enger und umkehrbar. Schreiben Sie den Unterschied in die Änderungsnotiz, damit die nächste Person nicht nach einem Widerruf sucht, der nie stattgefunden hat.

Setzen Sie die Deaktivierungsdirektive in die richtige Datei

Für einen Community-Server mit klientspezifischer Konfiguration lehnt die dokumentierte Direktive disable einen ausgewählten Client ab. Sie gehört in die Datei dieses Clients unter dem aktiven client-config-dir, nicht in die Hauptkonfiguration des Servers. Prüfen Sie das Verzeichnis, das der laufende Daemon tatsächlich nutzt, und bestätigen Sie dann die Identität, die die Datei auswählt. Eine Datei, die nach dem falschen Common Name benannt ist, sieht richtig aus und wird nie gelesen.

disable

Die Zuordnungswahl ist hier wichtig. Optionen wie username-as-common-name ändern, welche Identität die Suche verwendet, sodass eine nach dem Zertifikatsubjekt benannte Datei möglicherweise nicht die angewandte ist. Lesen Sie die OpenVPN-Referenz für die installierte Version, statt anzunehmen, eine Direktive sei in jedem Kontext gültig.

Trennen Sie neuen Zugang von laufenden Sitzungen

Das Ablehnen des nächsten Handshakes beendet keinen Tunnel, der bereits steht. Wenn das Gerät jetzt getrennt werden muss, nutzen Sie zusätzlich den autorisierten Sitzungsverwaltungsweg des Servers für genau diese Sitzung. Sonst kann der Client weiterarbeiten, bis er sich selbst neu verbindet, und das Schließen des Laptopdeckels oder das Beenden des Clients ist eine Aktion auf Clientseite, die nichts über den Server aussagt.

Prüfen Sie beide Ergebnisse: Die laufende Sitzung endet, wenn Sie es beabsichtigen, und ein neuer Handshake wird abgelehnt. Ein geschlossenes Clientfenster beweist nichts über die Serverrichtlinie.

Hat die Bereitstellung keinen unterstützten Weg, eine laufende Sitzung zu beenden, halten Sie diese Lücke fest, statt einen zu improvisieren. Ein blockierter Port auf dem Client ist nicht dasselbe wie eine Richtlinie auf Serverseite.

Pause und Kompromittierung sind verschiedene Ereignisse

Ein verlorener oder gestohlener Schlüssel ist ein Widerrufsereignis, und eine lokale Zugangspause ersetzt es nicht. Andere Server, die derselben CA vertrauen, teilen diese klientspezifische Regel nicht. Folgen Sie dem Widerrufs- und Ersetzungsprozess des Ausstellers und halten Sie die CA-Datenbank als maßgebliches Register. Eine vorübergehende Pause braucht dagegen einen dokumentierten Grund und einen Wiederherstellungsschritt.

Wenn der Zugang wiederhergestellt ist, entfernen Sie die Einschränkung über die Komponente, der sie gehört, und bestätigen Sie, dass eine neue Verbindung gelingt. Notieren Sie auch den Pfad der disable-Zeile, denn eine spätere Konfigurationssynchronisierung kann sie stillschweigend zurücksetzen. Halten Sie die Pause, ihren Eigentümer und das Datum in den Bereitstellungsnotizen fest, damit der nächste Administrator Monate später keine unerklärte disable-Zeile findet.