Tühistatud klient ühendub endiselt: nimekiri ei jõudnud kohale

Tühistamine ei tungi kunagi töötavasse tunnelisse sessiooni kustutama. Nimekiri on sertifikaadi kontrolli sisend ja seda loetakse TLS-sessiooni alustava juhtkanali vahetuse ajal. See üks asjaolu selgitab mõlemat üllatust: tühistatud klient ühendub uuesti, sest nimekiri ei jõudnud kunagi kontrollijani, ja olemasolev sessioon jääb püsima, sest keegi ei kontrollinud midagi uuesti.

Nimekiri on sisend, mitte tegevus

Sessiooni loomisel valideerib server kliendi sertifikaati oma usaldusankrute vastu ja tühistamisjuhis lisab sellele otsusele nimekirjapäringu. Kontroll toimub serveris, seega ei näe klient, et tema sertifikaat on tühistatud, ja pakub endiselt sama. Profiil, mis endiselt ühendub, tõestab seega vaid seda, et mõni kontrollija võttis ahela vastu, mitte et tühistamine ebaõnnestus.

Nimekiri ise on allkirjastatud objekt väljaandmiskuupäeva ja järgmise uuendamise kuupäevaga. Mitteasjakohane nimekiri, teise asutuse allkirjastatud nimekiri või selline, mille järgmine uuendamine on möödunud, ei asenda praegust, ning kas aegunud nimekiri lükatakse tagasi või võetakse vaikselt vastu, sõltub juurutusest.

Uus ühendus versus töötav sessioon

Tühistamist hinnatakse sessiooni loomisel või uuesti läbirääkimisel, mitte andmekanali vastu iga paketi puhul. Juba ühendatud kliendil on liiklusvõtmed, mistõttu laseb ta pakette edasi ka pärast seda, kui tema sertifikaat nimekirja ilmub. Vaikimisi uuestiläbirääkimise intervall on mõõdetud tundides, mistõttu võib uuendatud nimekiri uustulnukate jaoks kehtima hakata, samal ajal kui töötav tunnel püsib.

Kohene jõustamine nõuab teadlikku tegevust, mitte ainult nimekirja. Teenuse taaskäivitamine sunnib iga kliendi uuesti ühenduma, samas kui ühe sessiooni lõpetamine haldusliidese kaudu jätab teised puutumata. Valige juhtumi kohta üks ja märkige, millist kasutasite. Kahel valikul on erinev mõjuraadius ja just see on tõeline otsus.

Toimetage kohale fail, mida kontrollija tegelikult loeb

Nimekiri tuleb genereerida asutuse kirjest ja seejärel kopeerida igasse masinasse, mis sertifikaate kontrollib. Selle genereerimine CA-hostis ja mitte kunagi serverisse paigaldamine on kõige sagedasem tõrge ning näeb täpselt välja nagu katkine tühistamisfunktsioon.

ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pem

Faili tegeliku lugemise otsustavad kaks detaili. Suhteline tee lahendatakse konfiguratsioonikataloogi suhtes, mistõttu operaatori kodukataloogi jäetud koopiat ei pruugita kunagi leida. Ja deemon loobub tavaliselt pärast käivitumist privileegidest, mistõttu vajab käitusaegne konto otsinguõigust igas ülemkataloogis ja lugemisõigust failil. Kontrollige mõlemat käitusaegse kontoga, mitte rootiga, muidu tõestab test vale asja.

systemd-hostides võib karastatud üksus tee samuti peita, kirjutuskaitstud vaate või kaitstud süsteemikataloogiga. Teenuse seest ei erista seda puuduvast failist, seega kontrollige üksuse piiranguid enne, kui lähete õigusteviga otsima. Lugege üksusefaili enne, kui süüdistate faili õigusi.

Kinnitage serveris, mitte kliendis

Serveri logi nimetab, mis juhtus: nimekirja avamine, selle laadimine või kontrolli ebaõnnestumine tühistatud seerianumbriga. Klient teatab ainult üldisest käepigistuse tõrkest, mistõttu on kliendi logid tühistamisotsuse otsimiseks halb koht.

Kontrollige värske katsega tühistatud profiilist ja seejärel lõpetage. Edukas ühendus sellest profiilist on signaal uurida faili teed ja käitusaegset kontot, mitte eeldada, et nimekiri oli vale. Hoidke see edukas katse vastuvõtutestina ja ärge lugege uuestiühendust, mida te ei jälginud.

Mis ei tühista midagi

Profiili kustutamine sülearvutist, sertifikaadifaili eemaldamine kliendist või kasutajale ütlemine, et ta lõpetaks ühendumise, ei muuda serveris midagi. Sertifikaat jääb kehtima seni, kuni asutus tühistamise registreerib ja kontrollija tulemuseks oleva nimekirja loeb.

Seetõttu tasub ahel kirja panna: registreerige tühistamine, genereerige ja allkirjastage nimekiri, levitage täpselt see fail ja kinnitage, et teenusekonto suudab seda lugeda. Iga lüli on lühike ja iga puuduv lüli jätab tühistatud kliendi rõõmsalt ühenduma. Neljarealine kontrollnimekiri lööb eelduse, milles pole ühtegi rida.