تعلیق یک کلاینت OpenVPN بدون ابطال گواهی آن
بلوک موقت جای آن روی سرور است، نه در دفتر CA. از دستور disable مخصوص کلاینت استفاده کنید، نشست‌های فعال را پایان دهید و فقط در صورت نفوذ، گواهی را باطل کنید.
وقتی یک لپ‌تاپ یک هفته روی میز تعمیر می‌رود، غریزه معمول حذف گواهی آن از CA است. آن سابقه دفتر صادرکننده است، نه کلید ورود موقت. OpenVPN از قبل سازوکاری برای هر کلاینت دارد تا اتصال را رد کند، و استفاده از آن تاریخ CA را سالم نگه می‌دارد. این دو کنترل به پرسش‌های متفاوتی پاسخ می‌دهند و آمیختنشان وقتی دستگاه برمی‌گردد کار اضافه می‌سازد.
دو سابقه، دو کار متفاوت
پایگاه‌داده CA ثبت می‌کند که صادرکننده چه چیزی را امضا کرده و بعداً چه چیزی را باطل کرده است. جریان‌های ابطال و هر چیزی که CRL یا نسخه خودش از دفتر را می‌خواند به آن مراجعه می‌کنند. قاعده ورود روی سرور زندگی می‌کند و بر اتصالاتی اعمال می‌شود که آن سرور می‌پذیرد.
حذف یک سابقه صدور، گواهی را به شکل قابل‌اعتماد باطل نمی‌کند و تاریخی را خراب می‌کند که ابطال یا حسابرسی بعدی به آن وابسته است. کنترل سمت سرور محدودتر و بازگشت‌پذیر است. تفاوت را در یادداشت تغییر بنویسید تا نفر بعدی به دنبال ابطالی نرود که هرگز رخ نداده است.
دستور غیرفعال‌سازی را در فایل درست بگذارید
برای سرور جامعه‌ای که از پیکربندی مخصوص هر کلاینت استفاده می‌کند، دستور مستند disable یک کلاینت انتخاب‌شده را رد می‌کند. جای آن در فایل همان کلاینت زیر client-config-dir فعال است، نه در پیکربندی اصلی سرور. دایرکتوری‌ای را که سرویس‌گیر در حال اجرا واقعاً استفاده می‌کند تأیید کنید، سپس هویتی را که فایل را انتخاب می‌کند تأیید کنید. فایلی که با نام متداول اشتباه نام‌گذاری شده درست به نظر می‌رسد و هرگز خوانده نمی‌شود.
disableانتخاب‌های نگاشت اینجا اهمیت دارند. گزینه‌هایی مانند username-as-common-name تغییر می‌دهند جست‌وجو از کدام هویت استفاده می‌کند، پس فایلی که به نام موضوع گواهی است ممکن است همان فایل اعمال‌شده نباشد. مرجع OpenVPN را برای نسخه نصب‌شده بخوانید، نه اینکه فرض کنید یک دستور در هر زمینه‌ای معتبر است.
پذیرش تازه را از نشست‌های فعال جدا کنید
رد دست‌دادن بعدی، تونلی را که از قبل برپاست پایان نمی‌دهد. اگر دستگاه باید همین حالا قطع شود، مسیر مجاز مدیریت نشست سرور را نیز برای همان نشست مشخص به کار ببرید. در غیر این صورت کلاینت می‌تواند تا وقتی خودش دوباره وصل شود کار کند، و بستن درپوش لپ‌تاپ یا خروج از کلاینت اقدامی سمت کلاینت است که چیزی درباره سرور نمی‌گوید.
هر دو نتیجه را بررسی کنید: نشست فعال وقتی می‌خواهید متوقف می‌شود، و دست‌دادن تازه رد می‌شود. پنجره بسته کلاینت چیزی درباره سیاست سرور ثابت نمی‌کند.
اگر استقرار راه پشتیبانی‌شده‌ای برای پایان دادن به نشست فعال ندارد، آن شکاف را ثبت کنید نه اینکه راهی از خود بسازید. پورت مسدود در کلاینت با سیاست سمت سرور یکی نیست.
تعلیق و نفوذ دو رویداد متفاوت‌اند
کلید گم‌شده یا دزدیده‌شده یک رویداد ابطال است و تعلیق محلی ورود جایگزین آن نمی‌شود. سرورهای دیگر که به همان CA اعتماد دارند این قاعده مخصوص کلاینت این سرور را شریک نمی‌شوند. فرایند ابطال و جایگزینی صادرکننده را دنبال کنید و پایگاه‌داده CA را به عنوان سابقه معتبر نگه دارید. در مقابل، تعلیق موقت به دلیلی مستند و گامی برای بازگردانی نیاز دارد.
وقتی دسترسی بازگردانده شد، محدودیت را از طریق مؤلفه‌ای که مالک آن است بردارید و تأیید کنید که اتصال تازه موفق می‌شود. مسیر خط disable را هم ثبت کنید، چون همگام‌سازی پیکربندی بعدی می‌تواند آن را بی‌صدا برگرداند. تعلیق، مالک آن و تاریخ را در یادداشت‌های استقرار نگه دارید تا مدیر بعدی ماه‌ها بعد خط disable بی‌توضیحی پیدا نکند.