OpenVPN bezero bat pausatzea: zergatik errebokazioa den palanka okerra

Bezero baten sarbidea pausatzea eta betiko kentzea zeregin bera dirudite, bietako bat desegiten saiatu arte. Ziurtagiria errebokatzeak zerbitzariak behin betikotzat hartzen duen erregistro bat idazten du, eta hura atzera botatzeak jaulkitzailearen datu-basea eskuz editatu behar izatea esan nahi du. Tunel bizia botatzea konfiantzan ezer aldatzen ez duen kudeaketa-agindua da. Aukeratu palanka gakoa oraindik fidagarria den galdetuz, ez eskaria zenbateraino premiazkoa dirudien galdetuz.

Sinesmena: errebokatua eta etenda gauza bera dira

Kontratista bat astebetez pausatzen da eta islada errebokatzea da, errebokazioa zerbait itzaltzea bezala entzuten delako. Txukuna dirudi, hamar segundo behar ditu, eta datu-basearen edizioa uzten du itzultzeko bide bakartzat. Islada ulergarria da eta ate bat ixtea baino pasaporte bat erretzetik gertuago dago. Pausatutako gailu batek eta gako komprometitu batek tratamendu desberdina behar dute, eta horietako bat bakarrik da merkea atzera botatzeko.

Bereizketa kredentzialari buruzkoa da, ez pertsonari buruzkoa. Esku zuzenetan dagoen gako bat pausatu eta jarrai daiteke konfiantzarik galdu gabe. Kopiatu ahal izan den gako bat ez litzateke inoiz berrezarri behar, berrezartzeak kopia existitzen ez dela baieztatzen duelako.

Idatzi erantzuna bi sistemetako edozeini ukitu aurretik. Ezin baduzu esan gakoa agerian dagoen ala ez, erantzun kontserbadorea ordezkapena da.

Bota saio bizia kudeaketa-interfazearekin

OpenVPN kudeaketa-interfaze bat eskaintzen du, saioak zerrendatu eta haietako bat izen komunaren bidez hil dezakeena. Gaitu localhost-en, eduki urrun interfaze publikotik, eta bidali hiltzeko agindua saio batek orain desagertu behar duenean. Aginduak tunel hori soilik ixten du, eta gainerako bezero guztiek lanean jarraitzen dute.

Hau arazo aktibo bati emandako erantzuna da, ez etete-politika bat. Profil berak minutu batean berriro konekta dezake, bere kredentzialean ezer ez delako aldatu. Erabili saioak joan behar duenean eta erabaki iraunkorra oraindik hartzen ari denean.

Egiaztatu saioa konektatuta zegoela hil aurretik, inoiz konektatu ez zen bezero baten bila ez ibiltzeko. Beheko egoera-aginduak une honetan konektatuta dagoena inprimatzen du.

printf 'status 2\nquit\n' | nc 127.0.0.1 7506
printf 'kill kiosk-14\nquit\n' | nc 127.0.0.1 7506

Hiltzeak halako bezerorik ez dagoela jakinarazten badu, ziurtagiriko izen komuna ez da idatzi duzun katea. Irakurri egoeraren irteera, profil-fitxategiaren izena beharrean.

Zer kontrolatzen duen CRL-ak benetan

Zerbitzariak ez du ziurtagirian gordetako errebokazio-bandera bat kontsultatzen. crl-verify-k izendatutako ziurtagirien errebokazio-zerrenda irakurtzen du konexio berri bakoitzean, eta zerrenda horretan serie-zenbakia agertzen den ziurtagiria ukatzen du. Hortik bi ondorio datoz, eta biak operatiboki garrantzitsuak dira. Fitxategia zerbitzariak pribilegioak jaisten dizkion konturako irakurgarria izan behar da, eta jada konektatutako bezeroak lanean jarraitzen du berriro konektatu arte.

Bigarren ondorio horrek jendea harritzen du gorabeheren erdian. Ziurtagiria errebokatzeak ez du une horretan erabiltzen ari den tunela ixten. Parekatu errebokazioa kudeaketa-hiltze batekin saioak berehala amaitu behar badu, eta tratatu bi ekintzak eskuliburuko urrats bereizi gisa.

Aztertu zerrenda zerbitzariak benetan zer ezarriko duen ikusteko, kopiatu duzun azken fitxategiaren denbora-markan fidatu beharrean. Serie-kontaketa da garrantzia duen zatia.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | sed -n '1,14p'
ls -l /etc/openvpn/server/crl.pem

Sarrerarik gabeko zerrenda batek eta sarrera zuzenak dituen zerrenda batek berdin dirudite direktorio-zerrenda batean, horregatik merezi du serie-kontaketa inprimatzeak. Baimen-lerroak beste hainbeste axola du, deabruak irakurri ezin duen fitxategi batek ukatutako bezero baten antzeko hutsa sortzen duelako.

Erregistro bat berrezartzea, kontuz

Ziurtagiria berrezartzeak jaulkipen-datu-basean erregistro bat alderantzikatzea eta zerrenda berri bat argitaratzea esan nahi du. easy-rsa 3-k datu-base hori index.txt gisa gordetzen du PKI direktorioan, antolamendu zaharrek beste konponbide bat erabiltzen zuten bitartean. Errenkada bat egoera-letra batekin eta iraungitze-datarekin hasten da. Errebokatutako errenkada batek errebokaziorako denbora-marka bat txertatzen du, serie-zenbakiarekin, ziurtagiriaren fitxategi-izenarekin eta izen bereizgarriarekin jarraitu aurretik. Errenkada bat berriz jartzeak denbora-marka hori ezabatzea eta letra iraultzea esan nahi du, gainerako guztia bakean utzita.

Egin fitxategiaren babes-kopia bat lehenik, eta idatzi aldaketa script gisa, testu-editore batean tekleatu beharrean. Errenkada batek zenbat eremu daraman aldatzen duen akats tipografiko batek geroago gehitutako ziurtagiri bakoitzaren jaulkipena hausten du. Horregatik merezi du aldaketa automatizatzeak eta fitxategia ukitu aurretik kopiatzeak.

Izen beraren bigarren errebokazioak ere huts egiten du askotan, lehen exekuzioak ziurtagiri hori eta haren gakoa tresnak espero dituen direktorioetatik kanpora eraman zituelako. Orduan tresnak ezin du errebokatzeko eskatu zitzaiona aurkitu, eta errore-mezuak ez du beti argi esaten zergatik.

cp /etc/easy-rsa/pki/index.txt /root/index.txt.$(date +%F-%H%M)
grep -c '^R' /etc/easy-rsa/pki/index.txt
easyrsa gen-crl

Argitaratu zerrenda berria, zuzendu haren jabetza, eta egin zerbitzariak irakur dezan. Birkarga nahikoa da instalazio gehienetan, baina berrespena konexio berri batetik etorri behar da, lehendik dagoen saioak ez baitzuen ezer berriro egiaztatu.

Egiaztatu zein palanka merezi duen kasuak

Egin eskuliburu osoa erabakitzen duen galdera bakarra: gako pribatua oraindik soilik egon behar duen lekuan al dago. Hala bada, saioaren hiltzeak eta pausa dokumentatu batek kasua estaltzen dute eta ez dute erregistro iraunkorrik uzten. Hala ez bada, erantzun seguru bakarra gako berri bat da, ziurtagiri zaharra errebokatuta utzita.

Ondoren egiaztatu emaitza konexio-saiakerarekin, ez konfigurazio-ezberdintasunarekin. Ezberdintasunak zer asmo zenuen esaten dizu, eta konexioak zerbitzariak zer ezartzen duen.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | grep -c 'Serial Number'
printf 'status 2\nquit\n' | nc 127.0.0.1 7506

Berrezarritako bezero bat konektatzen denean eta egoera-irteeran agertzen denean, erregistroaren edizioak funtzionatu du. Errebokatutako bezero bat ukatzen denean eta erregistroak CRL-a aipatzen duenean, errebokazioak funtzionatu du. Bien arteko edozein gauza baimen edo birkarga arazo bat da, eta merezi du hurrengo eskaria iritsi aurretik konpontzeak.