Paŭzigi unu OpenVPN-klienton sen revoki ĝian atestilon

Kiam tekkomputilo iras al riparejo por semajno, la ordinara instinkto estas forigi ĝian atestilon el la CA. Tiu rikordo estas la registro de la eldonanto, ne provizora enira ŝaltilo. OpenVPN jam havas mekanismon por ĉiu kliento por rifuzi konekton, kaj uzi ĝin konservas la historion de la CA sentuŝa. La du regiloj respondas al malsamaj demandoj, kaj miksi ilin kreas laboron kiam la aparato revenas.

Du rikordoj, du malsamaj taskoj

La datumbazo de la CA registras kion la eldonanto subskribis kaj kion ĝi poste revokis. Ĝin konsultas revokaj fluoj kaj ĉio, kio legas la CRL aŭ sian propran kopion de la registro. Enira regulo loĝas sur la servilo kaj validas por la konektoj, kiujn tiu servilo akceptas.

Forigi eldonan rikordon ne fidinde revokas atestilon, kaj ĝi damaĝas la historion, de kiu dependas posta revoko aŭ revizio. La regilo sur la servila flanko estas pli mallarĝa kaj renversebla. Skribu la diferencon en la ŝanĝnoton, por ke la sekva persono ne serĉu revokon, kiu neniam okazis.

Metu la malŝaltan instrukciaron en la ĝustan dosieron

Por komunuma servilo, kiu uzas klient-specifan agordon, la dokumentita instrukcio disable rifuzas unu elektitan klienton. Ĝi apartenas al la dosiero de tiu kliento sub la aktiva client-config-dir, ne al la ĉefa servila agordo. Konfirmu la dosierujon, kiun la kuranta demono efektive uzas, kaj poste konfirmu la identecon, kiu elektas la dosieron. Dosiero nomita laŭ la malĝusta komuna nomo aspektas ĝusta kaj neniam estas legata.

disable

Mapadaj elektoj gravas ĉi tie. Opcioj kiel username-as-common-name ŝanĝas, kiun identecon la serĉo uzas, do dosiero nomita laŭ la subjekto de la atestilo eble ne estas la aplikata. Legu la OpenVPN-referencon por la instalita versio anstataŭ supozi, ke instrukcio validas en ĉiu kunteksto.

Apartigu novan aliron de vivantaj sesioj

Rifuzi la sekvan manpremon ne finas tunelon, kiu jam staras. Se la aparato devas esti malkonektita nun, uzu ankaŭ la rajtigitan sesiadministran vojon de la servilo por tiu specifa sesio. Alie la kliento povas daŭrigi labori ĝis ĝi mem rekonektiĝos, kaj fermi la kovrilon de la tekkomputilo aŭ eliri la klienton estas ago klientflanke, kiu diras nenion pri la servilo.

Kontrolu ambaŭ rezultojn: la vivanta sesio haltas kiam vi volas, kaj nova manpremo estas rifuzata. Fermita klienta fenestro pruvas nenion pri la servila politiko.

Se la enkonduko ne havas subtenatan manieron fini vivantan sesion, registru tiun mankon anstataŭ improvizi unu. Blokita pordo ĉe la kliento ne samas kiel servilflanka politiko.

Paŭzo kaj kompromito estas malsamaj okazaĵoj

Perdita aŭ ŝtelita ŝlosilo estas revoka okazaĵo, kaj loka enira paŭzo ne anstataŭas ĝin. Aliaj serviloj, kiuj fidas la saman CA, ne dividos ĉi tiun klient-specifan regulon. Sekvu la revokan kaj anstataŭan procezon de la eldonanto kaj tenu la datumbazon de la CA kiel la aŭtoritatan rikordon. Provizora paŭzo, kontraste, bezonas dokumentitan kialon kaj restarigan paŝon.

Kiam la aliro estas restarigita, forigu la limigon per la komponanto, kiu posedas ĝin, kaj konfirmu, ke nova konekto sukcesas. Registru ankaŭ la vojon de la disable-linio, ĉar posta agorda sinkronigo povas silente remeti ĝin. Tenu la paŭzon, ĝian posedanton kaj la daton en la enkondukaj notoj, por ke la sekva administranto ne trovu neklarigitan disable-linion monatojn poste.