Αναστολή ενός πελάτη OpenVPN χωρίς ανάκληση του πιστοποιητικού του

Όταν ένας φορητός υπολογιστής πάει για μια εβδομάδα στον πάγκο επισκευής, το συνηθισμένο ένστικτο είναι να αφαιρεθεί το πιστοποιητικό του από την CA. Αυτή η εγγραφή είναι το μητρώο του εκδότη, όχι ένας προσωρινός διακόπτης πρόσβασης. Το OpenVPN έχει ήδη μηχανισμό ανά πελάτη για την άρνηση μιας σύνδεσης, και η χρήση του διατηρεί άθικτο το ιστορικό της CA. Οι δύο έλεγχοι απαντούν σε διαφορετικά ερωτήματα, και η ανάμειξή τους δημιουργεί δουλειά όταν επιστρέψει η συσκευή.

Δύο μητρώα, δύο διαφορετικές δουλειές

Η βάση δεδομένων της CA καταγράφει τι υπέγραψε ο εκδότης και τι ανακάλεσε αργότερα. Τη συμβουλεύονται οι ροές ανάκλησης και καθετί που διαβάζει το CRL ή το δικό του αντίγραφο του μητρώου. Ένας κανόνας εισδοχής ζει στον διακομιστή και ισχύει για τις συνδέσεις που δέχεται αυτός ο διακομιστής.

Η διαγραφή μιας εγγραφής έκδοσης δεν ανακαλεί αξιόπιστα ένα πιστοποιητικό και βλάπτει το ιστορικό από το οποίο εξαρτώνται η μεταγενέστερη ανάκληση ή ο έλεγχος. Ο έλεγχος στην πλευρά του διακομιστή είναι στενότερος και αναστρέψιμος. Γράψτε τη διαφορά στο σημείωμα αλλαγής, ώστε το επόμενο άτομο να μην ψάχνει ανάκληση που δεν συνέβη ποτέ.

Βάλτε την οδηγία απενεργοποίησης στο σωστό αρχείο

Για έναν διακομιστή κοινότητας που χρησιμοποιεί ρύθμιση ειδική ανά πελάτη, η τεκμηριωμένη οδηγία disable αρνείται έναν επιλεγμένο πελάτη. Ανήκει στο αρχείο αυτού του πελάτη κάτω από το ενεργό client-config-dir, όχι στην κύρια ρύθμιση του διακομιστή. Επιβεβαιώστε τον κατάλογο που χρησιμοποιεί πραγματικά ο δαίμονας που εκτελείται, και μετά επιβεβαιώστε την ταυτότητα που επιλέγει το αρχείο. Ένα αρχείο με λάθος κοινό όνομα φαίνεται σωστό και δεν διαβάζεται ποτέ.

disable

Οι επιλογές αντιστοίχισης έχουν σημασία εδώ. Επιλογές όπως username-as-common-name αλλάζουν ποια ταυτότητα χρησιμοποιεί η αναζήτηση, οπότε ένα αρχείο με το όνομα του υποκειμένου του πιστοποιητικού μπορεί να μην είναι αυτό που εφαρμόζεται. Διαβάστε την αναφορά του OpenVPN για την εγκατεστημένη έκδοση αντί να υποθέτετε ότι μια οδηγία ισχύει σε κάθε πλαίσιο.

Διαχωρίστε τη νέα εισδοχή από τις ενεργές συνεδρίες

Η άρνηση της επόμενης χειραψίας δεν τερματίζει ένα τούνελ που είναι ήδη ενεργό. Αν η συσκευή πρέπει να αποσυνδεθεί τώρα, χρησιμοποιήστε επίσης την εξουσιοδοτημένη διαδρομή διαχείρισης συνεδριών του διακομιστή για εκείνη τη συγκεκριμένη συνεδρία. Αλλιώς ο πελάτης μπορεί να συνεχίσει να λειτουργεί μέχρι να επανασυνδεθεί μόνος του, και το κλείσιμο του καπακιού του φορητού ή η έξοδος από τον πελάτη είναι ενέργεια στην πλευρά του πελάτη που δεν σας λέει τίποτα για τον διακομιστή.

Επαληθεύστε και τα δύο αποτελέσματα: η ενεργή συνεδρία σταματά όταν το θέλετε, και μια νέα χειραψία απορρίπτεται. Ένα κλειστό παράθυρο πελάτη δεν αποδεικνύει τίποτα για την πολιτική του διακομιστή.

Αν η ανάπτυξη δεν έχει υποστηριζόμενο τρόπο να τερματίσει μια ενεργή συνεδρία, καταγράψτε αυτό το κενό αντί να επινοήσετε έναν. Μια αποκλεισμένη θύρα στον πελάτη δεν είναι το ίδιο με μια πολιτική στην πλευρά του διακομιστή.

Παύση και παραβίαση είναι διαφορετικά γεγονότα

Ένα χαμένο ή κλεμμένο κλειδί είναι γεγονός ανάκλησης, και μια τοπική παύση πρόσβασης δεν το αντικαθιστά. Άλλοι διακομιστές που εμπιστεύονται την ίδια CA δεν θα μοιράζονται αυτόν τον κανόνα ειδικό για τον πελάτη. Ακολουθήστε τη διαδικασία ανάκλησης και αντικατάστασης του εκδότη και κρατήστε τη βάση δεδομένων της CA ως την έγκυρη εγγραφή. Μια προσωρινή παύση, αντίθετα, χρειάζεται τεκμηριωμένο λόγο και βήμα αποκατάστασης.

Όταν αποκατασταθεί η πρόσβαση, αφαιρέστε τον περιορισμό μέσω του στοιχείου που τον κατέχει και επιβεβαιώστε ότι μια νέα σύνδεση πετυχαίνει. Καταγράψτε επίσης τη διαδρομή της γραμμής disable, γιατί ένας μεταγενέστερος συγχρονισμός ρυθμίσεων μπορεί να την επαναφέρει σιωπηλά. Κρατήστε την παύση, τον ιδιοκτήτη της και την ημερομηνία στις σημειώσεις ανάπτυξης, ώστε ο επόμενος διαχειριστής να μη βρει μήνες αργότερα μια ανεξήγητη γραμμή disable.