Peruutettu asiakas yhdistää yhä: lista ei koskaan saapunut

Peruutus ei koskaan työnny käynnissä olevaan tunneliin poistaakseen istuntoa. Lista on syöte varmenteen tarkistukseen ja se luetaan TLS-istunnon aloittavan ohjauskanavan vaihdon aikana. Tämä yksi tosiasia selittää molemmat yllätykset: peruutettu asiakas yhdistää uudelleen, koska lista ei koskaan saapunut tarkistajalle, ja olemassa oleva istunto jää eloon, koska kukaan ei tarkistanut mitään uudelleen.

Lista on syöte, ei toimenpide

Istuntoa perustettaessa palvelin validoi asiakasvarmenteen luottamusankkureitaan vastaan, ja peruutusdirektiivi lisää tähän päätökseen listahaun. Tarkistus tapahtuu palvelimella, joten asiakas ei voi nähdä varmenteensa tulleen peruutetuksi ja tarjoaa edelleen samaa. Profiili, joka yhä yhdistää, todistaa siis vain, että jokin tarkistaja hyväksyi ketjun, ei sitä, että peruutus epäonnistui.

Lista on itsessään allekirjoitettu objekti, jolla on myöntämispäivä ja seuraava päivityspäivä. Asiaankuulumaton lista, toisen viranomaisen allekirjoittama lista tai lista, jonka seuraava päivitys on ohitettu, ei korvaa nykyistä, ja se, hylätäänkö vanhentunut lista vai hyväksytäänkö se hiljaa, riippuu käyttöönotosta.

Uusi yhteys vastaan käynnissä oleva istunto

Peruutus arvioidaan, kun istunto perustetaan tai neuvotellaan uudelleen, ei datakanavaa vastaan jokaisen paketin kohdalla. Jo yhdistetty asiakas pitää liikenneavaimet, joten se päästää paketteja läpi vielä sen jälkeen, kun sen varmenne ilmestyy listalle. Oletusarvoinen uudelleenneuvotteluväli mitataan tunneissa, minkä vuoksi päivitetty lista voi tulla voimaan uusille tulijoille samalla, kun käynnissä oleva tunneli pysyy pystyssä.

Välitön täytäntöönpano vaatii tarkoituksellisen toimenpiteen, ei pelkkää listaa. Palvelun uudelleenkäynnistys pakottaa jokaisen asiakkaan yhdistämään uudelleen, kun taas yhden istunnon lopettaminen hallintaliittymän kautta jättää muut koskemattomiksi. Valitse yksi tapausta kohden ja kirjaa, kumpaa käytit. Kahdella vaihtoehdolla on erilainen vaikutusalue, ja se on varsinainen päätös.

Toimita tiedosto, jota tarkistaja todella lukee

Lista on luotava viranomaisen tietueesta ja kopioitava sitten jokaiseen koneeseen, joka tarkistaa varmenteita. Sen luominen CA-isännällä ja asentamatta jättäminen palvelimelle on yleisin vika, ja se näyttää täsmälleen rikkinäiseltä peruutustoiminnolta.

ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pem

Kaksi yksityiskohtaa ratkaisee, luetaanko tiedosto todella. Suhteellinen polku ratkaistaan konfiguraatiohakemistoa vasten, joten operaattorin kotihakemistoon jäänyttä kopiota ei ehkä koskaan löydetä. Ja taustaprosessi luopuu yleensä käynnistyksen jälkeen oikeuksistaan, joten suoritusaikatili tarvitsee hakuoikeuden jokaiseen ylähakemistoon sekä lukuoikeuden tiedostoon. Tarkista molemmat suoritusaikatilillä eikä rootilla, tai testi todistaa väärän asian.

systemd-isännillä kovennettu yksikkö voi myös piilottaa polun, vain luku -näkymällä tai suojatulla järjestelmähakemistolla. Palvelun sisältä sitä ei voi erottaa puuttuvasta tiedostosta, joten tarkista yksikön rajoitukset ennen kuin lähdet etsimään oikeusvirhettä. Lue yksikkötiedosto ennen kuin syytät tiedoston tilaa.

Vahvista palvelimella, älä asiakkaalla

Palvelimen loki nimeää, mitä tapahtui: listan avaaminen, sen lataaminen tai tarkistuksen epäonnistuminen peruutetulla sarjanumerolla. Asiakas raportoi vain yleisen kättelyvirheen, minkä vuoksi asiakkaan lokit ovat huono paikka etsiä peruutuspäätöstä.

Tarkista tuoreella yrityksellä peruutetusta profiilista ja lopeta sitten. Onnistunut yhteys siitä profiilista on merkki tutkia tiedoston polku ja suoritusaikatili, ei olettaa listan olleen väärä. Pidä tuo onnistunut yritys hyväksymistestinä, äläkä laske uudelleenyhdistämistä, jota et seurannut.

Mikä ei peruuta mitään

Profiilin poistaminen kannettavasta tietokoneesta, varmennetiedoston poistaminen asiakkaalta tai käyttäjälle sanominen, että lopeta yhdistäminen, ei muuta palvelimella mitään. Varmenne pysyy voimassa, kunnes viranomainen kirjaa peruutuksen ja tarkistaja lukee syntyneen listan.

Siksi ketju kannattaa kirjoittaa: kirjaa peruutus, luo ja allekirjoita lista, jaa juuri se tiedosto ja vahvista, että palvelutilin voi lukea sen. Jokainen lenkki on lyhyt, ja puuttuva lenkki jättää peruutetun asiakkaan iloisesti yhdistämään. Neljän rivin tarkistuslista voittaa oletuksen, jossa ei ole yhtään riviä.