Keskeytä yksi OpenVPN-asiakas mitätöimättä sen varmennetta

Kun kannettava tietokone viedään viikoksi korjauspöydälle, tavallinen vaisto on poistaa sen varmenne CA:sta. Se tietue on myöntäjän rekisteri, ei tilapäinen pääsykytkin. OpenVPN:ssä on jo asiakaskohtainen mekanismi yhteyden hylkäämiseen, ja sen käyttö pitää CA:n historian ehjänä. Kaksi valvontaa vastaavat eri kysymyksiin, ja niiden sekoittaminen luo työtä, kun laite palaa.

Kaksi tietuetta, kaksi eri tehtävää

CA:n tietokanta kirjaa, mitä myöntäjä allekirjoitti ja mitä se myöhemmin mitätöi. Sitä kysyvät mitätöintiprosessit ja kaikki, mikä lukee CRL:n tai oman kopionsa rekisteristä. Pääsösääntö elää palvelimella ja koskee yhteyksiä, jotka se palvelin hyväksyy.

Myöntötietueen poistaminen ei mitätöi varmennetta luotettavasti ja vahingoittaa historiaa, josta myöhempi mitätöinti tai auditointi riippuu. Palvelinpuolen valvonta on kapeampi ja peruttavissa. Kirjoita ero muutosmuistioon, jotta seuraava henkilö ei etsi mitätöintiä, jota ei koskaan tapahtunut.

Sijoita poistokäsky oikeaan tiedostoon

Yhteisöpalvelimelle, joka käyttää asiakaskohtaista määritystä, dokumentoitu disable-direktiivi hylkää yhden valitun asiakkaan. Se kuuluu kyseisen asiakkaan tiedostoon aktiivisen client-config-dir-hakemiston alle, ei palvelimen päämääritykseen. Varmista hakemisto, jota käynnissä oleva taustaprosessi todella käyttää, ja varmista sitten identiteetti, joka valitsee tiedoston. Väärällä yleisnimellä nimetty tiedosto näyttää oikealta eikä sitä koskaan lueta.

disable

Yhdistämisvalinnat ovat tässä tärkeitä. Asetukset kuten username-as-common-name muuttavat sitä, mitä identiteettiä haku käyttää, joten varmenteen subjektin mukaan nimetty tiedosto ei välttämättä ole se, jota sovelletaan. Lue asennetun version OpenVPN-viite sen sijaan, että olettaisit direktiivin olevan voimassa kaikissa yhteyksissä.

Erottele uusi pääsy aktiivisista istunnoista

Seuraavan kättelyn hylkääminen ei lopeta tunnelia, joka on jo pystyssä. Jos laite on irrotettava nyt, käytä myös palvelimen valtuutettua istunnonhallintapolkua juuri sille istunnolle. Muuten asiakas voi jatkaa toimintaa, kunnes yhdistää itse uudelleen, ja kannettavan kannen sulkeminen tai asiakkaasta poistuminen on asiakaspuolen toimi, joka ei kerro palvelimesta mitään.

Varmista molemmat tulokset: aktiivinen istunto päättyy, kun haluat, ja uusi kättely hylätään. Suljettu asiakasikkuna ei todista mitään palvelimen käytännöstä.

Jos käyttöönottossa ei ole tuettua tapaa lopettaa aktiivinen istunto, kirjaa tämä puute sen sijaan, että keksisit sellaisen. Asiakkaan estetty portti ei ole sama asia kuin palvelinpuolen käytäntö.

Keskeytys ja tietomurto ovat eri tapahtumia

Kadonnut tai varastettu avain on mitätöintitapahtuma, eikä paikallinen pääsyn keskeytys korvaa sitä. Muut palvelimet, jotka luottavat samaan CA:han, eivät jaa tämän palvelimen asiakaskohtaista sääntöä. Noudata myöntäjän mitätöinti- ja korvausprosessia ja pidä CA:n tietokanta auktoritatiivisena tietueena. Tilapäinen keskeytys sitä vastoin vaatii dokumentoidun syyn ja palautusvaiheen.

Kun pääsy on palautettu, poista rajoitus sen omistavan komponentin kautta ja varmista, että uusi yhteys onnistuu. Kirjaa myös disable-rivin polku, koska myöhempi määritysten synkronointi voi palauttaa sen hiljaa. Pidä keskeytys, sen omistaja ja päivämäärä käyttöönoton muistiinpanoissa, jotta seuraava ylläpitäjä ei löydä selittämätöntä disable-riviä kuukausia myöhemmin.