Suspenda un cliente de OpenVPN sin revocar su certificado

Cuando un portátil pasa una semana en el banco de reparaciones, el instinto habitual es quitar su certificado de la CA. Ese registro es el libro del emisor, no un interruptor temporal de acceso. OpenVPN ya dispone de un mecanismo por cliente para rechazar una conexión, y usarlo mantiene intacta la historia de la CA. Los dos controles responden a preguntas distintas, y mezclarlos crea trabajo cuando el dispositivo vuelve.

Dos registros, dos trabajos diferentes

La base de datos de la CA registra lo que firmó el emisor y lo que revocó después. La consultan los flujos de revocación y todo lo que lee la CRL o su propia copia del registro. Una regla de admisión vive en el servidor y se aplica a las conexiones que ese servidor acepta.

Borrar un registro de emisión no revoca un certificado de forma fiable y daña la historia de la que dependen la revocación o la auditoría posteriores. El control del lado del servidor es más estrecho y reversible. Escriba la diferencia en la nota de cambio para que la siguiente persona no busque una revocación que nunca ocurrió.

Ponga la directiva de desactivación en el archivo correcto

Para un servidor comunitario que usa configuración específica por cliente, la directiva documentada disable rechaza a un cliente seleccionado. Pertenece al archivo de ese cliente dentro del client-config-dir activo, no a la configuración principal del servidor. Confirme el directorio que usa realmente el demonio en ejecución y luego confirme la identidad que selecciona el archivo. Un archivo nombrado con el nombre común equivocado parece correcto y nunca se lee.

disable

Las decisiones de mapeo importan aquí. Opciones como username-as-common-name cambian qué identidad usa la búsqueda, así que un archivo nombrado con el sujeto del certificado puede no ser el que se aplica. Lea la referencia de OpenVPN de la versión instalada en lugar de suponer que una directiva es válida en todos los contextos.

Separe la admisión nueva de las sesiones activas

Rechazar el siguiente handshake no termina un túnel que ya está levantado. Si el dispositivo debe desconectarse ahora, use también la ruta autorizada de gestión de sesiones del servidor para esa sesión concreta. De lo contrario, el cliente puede seguir funcionando hasta que se reconecte por su cuenta, y cerrar la tapa del portátil o salir del cliente es una acción del lado del cliente que no dice nada del servidor.

Verifique ambos resultados: la sesión activa se detiene cuando usted quiere y un nuevo handshake se deniega. Una ventana de cliente cerrada no demuestra nada sobre la política del servidor.

Si el despliegue no tiene una forma compatible de terminar una sesión activa, registre esa carencia en lugar de improvisar una. Un puerto bloqueado en el cliente no es lo mismo que una política del lado del servidor.

Pausa y compromiso son eventos distintos

Una clave perdida o robada es un evento de revocación, y una pausa local de acceso no lo sustituye. Los demás servidores que confían en la misma CA no compartirán esta regla específica del cliente. Siga el proceso de revocación y sustitución del emisor y mantenga la base de datos de la CA como registro autoritativo. Una pausa temporal, en cambio, necesita un motivo documentado y un paso de restauración.

Cuando se restablezca el acceso, quite la restricción mediante el componente que la posee y confirme que una conexión nueva funciona. Anote también la ruta de la línea disable, porque una sincronización de configuración posterior puede devolverla en silencio. Guarde la pausa, su propietario y la fecha en las notas de despliegue, para que el siguiente administrador no encuentre meses después una línea disable sin explicación.