Bertan behera utzitako bezeroa oraindik konektatzen da: zerrenda ez zen inoiz iritsi

Baliogabetzeak ez du inoiz martxan dagoen tunel batera sartzen sesio bat ezabatzeko. Zerrenda ziurtagiriaren egiaztapenaren sarrera da eta TLS sesio bat hasten duen kontrol-kanalaren trukean kontsultatzen da. Gertaera bakar horrek bi ustekabeak azaltzen ditu: baliogabetutako bezero bat berriro konektatzen da, zeren zerrenda ez zen inoiz egiaztatzailearengana iritsi, eta lehendik dagoen sesio bat bizirik irauten du, inork ezer berriro egiaztatu ez duelako.

Zerrenda sarrera bat da, ez ekintza bat

Sesioa ezartzean zerbitzariak bezeroaren ziurtagiria baliozkotzen du bere konfiantza-ankerren aurka, eta baliogabetze-direktibak zerrenda-bilaketa gehitzen dio erabaki horri. Egiaztapena zerbitzarian gertatzen da, beraz bezeroak ezin du ikusi bere ziurtagiria baliogabetu denik eta berbera eskaintzen jarraitzen du. Beraz, oraindik konektatzen duen profilak soilik frogatzen du egiaztatzaile batek katea onartu zuela, ez baliogabetzeak huts egin zuenik.

Zerrenda bera sinatutako objektua da, jaulkipen-data eta hurrengo eguneratze-data dituena. Zerrenda arrotzak, beste autoritate batek sinatutakoak edo hurrengo eguneratzea igaro zaionak ez du unekoaren ordezkorik egiten, eta zerrenda zaharkitu bat baztertzen den edo isilean onartzen den hedapenaren araberakoa da.

Konexio berria versus martxan dagoen sesioa

Baliogabetzea sesioa ezartzen edo berriz negoziatzen denean ebaluatzen da, ez datu-kanalaren aurka pakete bakoitzean. Dagoeneko konektatuta dagoen bezeroak trafiko-gakoak ditu, beraz paketeak pasatzen jarraitzen du bere ziurtagiria zerrendan agertu ondoren. Berriz negoziatzeko tarte lehenetsia ordutan neurtzen da, horregatik zerrenda eguneratu batek etorri berrientzat indarra har dezake tunel bat martxan mantentzen den bitartean.

Berehalako betearazpenak nahita egindako ekintza behar du, ez soilik zerrenda. Zerbitzua berrabiarazteak bezero bakoitza berriro konektatzera behartzen du, eta kudeaketa-interfazearen bidez sesio bat amaitzeak besteak ukitu gabe uzten ditu. Aukeratu bat gertaera bakoitzeko eta idatzi zein erabili duzun. Bi aukerek eragin-erradio desberdina dute, eta hori da benetako erabakia.

Eraman ezazu egiaztatzaileak benetan irakurtzen duen fitxategia

Zerrenda autoritatearen erregistrotik sortu behar da eta gero ziurtagiriak egiaztatzen dituen makina bakoitzera kopiatu. CA ostalarian sortzea eta inoiz zerbitzarian instalatzea ez da huts egite ohikoena, eta baliogabetze-funtzio hondatu baten itxura zehatza du.

ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pem

Bi xehetasunek erabakitzen dute fitxategia benetan irakurtzen den. Bide erlatibo bat konfigurazio-direktorioaren arabera ebazten da, beraz operadore baten etxeko direktorioan utzitako kopia bat inoiz aurki ez daiteke. Eta deabruak normalean pribilegioak utzi ohi ditu abiarazi ondoren, beraz exekuzio-kontuak bilaketa-baimena behar du direktorio guraso bakoitzean eta irakurketa-baimena fitxategian. Egiaztatu biak exekuzio-kontuarekin, ez root-ekin, bestela probak okerreko gauza frogatzen du.

systemd ostalarietan unitate gogortu batek bidea ere ezkuta dezake, irakurketa-soileko ikuspegi batekin edo sistema-direktorio babestu batekin. Zerbitzuaren barrutik hori ez da bereizten falta den fitxategi batetik, beraz egiaztatu unitatearen murrizketak baimen-errore baten bila hasi aurretik. Irakurri unitatearen fitxategia fitxategiaren modua errua bota aurretik.

Berretsi zerbitzarian, ez bezeroan

Zerbitzariaren erregistroak zer gertatu zen izendatzen du: zerrenda irekitzea, kargatzea edo egiaztapenak huts egitea baliogabetutako serie-zenbakiarekin. Bezeroak esku-ukaldiaren huts egite orokor bat baino ez du jakinarazten, horregatik bezeroaren erregistroak leku txarra dira baliogabetze-erabaki baten bila.

Egiaztatu baliogabetutako profiletik saiakera berri batekin eta gero gelditu. Profil horretatik konexio arrakastatsua fitxategiaren bidea eta exekuzio-kontua aztertzeko seinalea da, ez zerrenda oker zegoela suposatzeko. Gorde saiakera arrakastatsu hori onarpen-proba gisa, eta ez zenbatu ikusi ez duzun berrikonexio bat.

Zerk ez du ezer baliogabetzen

Profila ordenagailu eramangarri batetik ezabatzeak, ziurtagiri-fitxategia bezerotik kentzeak edo erabiltzaileari konektatzeari uzteko esateak ez du ezer aldatzen zerbitzarian. Ziurtagiria baliozkoa izaten jarraitzen du autoritateak baliogabetzea erregistratu eta egiaztatzaileak ondoriozko zerrenda irakurri arte.

Horregatik ere merezi du katea idaztea: erregistratu baliogabetzea, sortu eta sinatu zerrenda, banatu fitxategi hori zehazki, eta berretsi zerbitzu-kontuak irakur dezakeela. Katebegi bakoitza laburra da, eta falta den edozeinek baliogabetutako bezero bat pozik konektatzen uzten du. Lau lerroko kontrol-zerrenda batek bat ere ez duen suposizioa gainditzen du.