Peatage üks OpenVPN klient tema sertifikaati tühistamata

Kui sülearvuti läheb nädalaks remondilauale, on tavaline tung sertifikaat CA-st eemaldada. See kanne on väljaandja register, mitte ajutine juurdepääsulüliti. OpenVPN-il on juba iga kliendi jaoks mehhanism ühenduse keelamiseks ja selle kasutamine hoiab CA ajaloo puutumatuna. Need kaks juhtimisvahendit vastavad erinevatele küsimustele ja nende segamine tekitab tööd, kui seade tagasi tuleb.

Kaks kannet, kaks erinevat ülesannet

CA andmebaas registreerib, mida väljaandja allkirjastas ja mida ta hiljem tühistas. Seda pärib tühistamisprotsess ja kõik, mis loeb CRL-i või oma koopiat registrist. Juurdepääsureegel elab serveris ja kehtib ühenduste kohta, mida see server vastu võtab.

Väljaandekande kustutamine ei tühista sertifikaati usaldusväärselt ja kahjustab ajalugu, millest hilisem tühistamine või audit sõltub. Serveripoolne juhtimine on kitsam ja pööratav. Kirjutage erinevus muudatuse märkmikku, et järgmine inimene ei otsiks tühistamist, mida kunagi ei toimunud.

Pange keelamise direktiiv õigesse faili

Kogukonnaserveri jaoks, mis kasutab kliendipõhist konfiguratsiooni, keelab dokumenteeritud direktiiv disable ühe valitud kliendi. See kuulub selle kliendi faili aktiivse client-config-dir all, mitte serveri peakonfiguratsiooni. Kontrollige kataloogi, mida töötav deemon tegelikult kasutab, ja seejärel kinnitage identiteet, mis faili valib. Vale üldnime järgi nimetatud fail näeb õige välja ja seda ei loeta kunagi.

disable

Vastendusvalikud on siin olulised. Sellised valikud nagu username-as-common-name muudavad, millist identiteeti otsing kasutab, seega sertifikaadi subjekti järgi nimetatud fail ei pruugi olla rakendatav. Lugege paigaldatud versiooni OpenVPN-i teatmikku selle asemel, et eeldada direktiivi kehtivust igas kontekstis.

Eraldage uus juurdepääs aktiivsetest sessioonidest

Järgmise käepigistuse keelamine ei lõpeta tunnelit, mis on juba püsti. Kui seade tuleb kohe lahti ühendada, kasutage ka serveri volitatud sessioonihalduse teed just selle sessiooni jaoks. Muidu võib klient töötada edasi, kuni ta ise uuesti ühendub, ja sülearvuti kaane sulgemine või kliendist väljumine on kliendipoolne tegevus, mis serverist midagi ei ütle.

Kontrollige mõlemat tulemust: aktiivne sessioon lõpeb siis, kui soovite, ja uus käepigistus keelatakse. Suletud kliendiaknas ei tõesta serveri poliitika kohta midagi.

Kui juurutusel pole toetatud viisi aktiivse sessiooni lõpetamiseks, registreerige see puudujääk, mitte ärge improviseerige seda. Blokeeritud port kliendis ei ole sama mis serveripoolne poliitika.

Paus ja kompromiteerimine on erinevad sündmused

Kaotatud või varastatud võti on tühistamissündmus ja kohalik juurdepääsupaus ei asenda seda. Teised serverid, mis usaldavad sama CA-d, ei jaga selle serveri kliendipõhist reeglit. Järgige väljaandja tühistamis- ja asendusprotsessi ning hoidke CA andmebaasi autoriteetse registrina. Ajutine paus seevastu vajab dokumenteeritud põhjust ja taastamissammu.

Kui juurdepääs on taastatud, eemaldage piirang selle omanikust komponendi kaudu ja kinnitage, et uus ühendus õnnestub. Kirjutage üles ka disable-rea tee, sest hilisem konfiguratsiooni sünkroonimine võib selle vaikselt tagasi panna. Hoidke paus, selle omanik ja kuupäev juurutamise märkmetes, et järgmine administraator ei leiaks kuude pärast seletamatut disable-rida.