Ien OpenVPN-klant fuortstjoere: kill, deny of in sertifikaat yntrekke?

Jo hawwe in common name en in adres yn jo notysjes, en trije opdrachten dy't allegear lykje as ferwiderje se in klant. Allinnich ien docht wat jo wolle, en de kar hinget derfan ôf oft jo de sesje dy't no rint einigje wolle, de folgjende oanmelding wegerje wolle, of it rjocht om hielendal te ferbinen ôfnimme wolle. Lês de identiteit dy't jo eins hawwe foardat jo eat oanreitsje, want in OpenVPN-pool jout letter deselde tunneladres oan in oare sesje.

Hokker identiteit jo eins hawwe

In statusbestân fan ferzje 3 is it gewoane útgongspunt. De CLIENT_LIST-seksje draacht de common name, it echte adres, byttetellers en ferbiningstiid; de ROUTING TABLE-seksje keppelt in firtueel adres oan in common name mei in tiidstimpel fan de lêste ferwizing. De common name is de stabile identiteit. It firtuele adres is in tawizing, en it echte adres efter in NAT kin tusken sesjes feroarje sûnder dat der op de tsjinner eat feroaret.

De behearderinterface lit in ferlykber byld sjen fia syn status-opdracht en foeget in klant-ID ta per sesje. Dat ID is wat client-kill ferwachtet, en it is net it tunneladres. As jo witte wolle hokker common name by it ferbinen hokker adres krige, hat de omjouwing fan in client-connect-skript beide, tegearre mei it fertroude bûtenadres, mar dat skript rint as de OpenVPN-brûker en hat in skriuwber logpaad nedich.

No deadzje, by oanmelding wegerje, foar altyd yntrekke

Beide ferwideringsopdrachten yn 'e behearderinterface binne sesje-aksjes. kill nimt in common name of in echt adres en poarte; client-kill nimt it klant-ID en einiget dy instantie daliks. Gjin fan beide is in blokkade: in fuortsmiten klant mei in jildich sertifikaat en wachtwurd ferbynt binnen sekonden wer, wat goed is as jo in testpeer recyclet en nutteloas as in laptop stellen is.

client-deny is in oar soarte beslút. It wurdt meastentiids út in authentication- of client-connect-heaksel útjûn en wiist de sesje mei in reden ôf, dat it past by in belied dat in oanmelding wegeret ynstee fan ien dat in ferbining ûnderbrekt. De dokumintaasje warskôget ek dat in wegering dy't by in TLS-fernijing útjûn wurdt de fernijde kaai ûnjildich makket, wylst de besteande sesje trochrinne kin oant it oergongsfinster slút. As de eask is dat de klant no fuort is, is it dokumintearre antwurd client-kill.

Duorsum ferwiderjen leit ûnder dit alles. Lûk it sertifikaat yn en soargje dat crl-verify nei in list wiist dy't de tsjinner echt opnij ladt, skeakelje it klientspesifike konfiguraasjebestân yn 'e ccd-map út, of skeakelje it akkount út yn hokker backend de authentication-heaksel ek oanfreget. In yntrekking is ek net daliks: mei standert reneg-sec-ynstellingen kin in fêstige sesje trochrinne oant it fernijt, dat de sesje-aksje en de legitimaasje-aksje binne oanfollingen, gjin alternativen.

Is de beheardersocket frij?

De behearderinterface tsjinnet ien klant tagelyk. As in GUI of in monitoringsdaemon de ferbining al hâldt, kin jo skript der net neist oanslute, en ôfhinklik fan 'e klant kinne jo de besteande fuortstjoere ynstee fan skjin te mislearjen. Syn wachtwurd reizget yn dúdlike tekst oer dy socket, dat it heart op in lokaal adres of in unix-socket, nea op in iepenbier ynterface.

As jo de socket net nimme kinne, hawwe jo noch opsjes, en se binne allegear stadiger. Lit earst de sesje fan de GUI los as jo dy kontrolearje, of akseptearje de rûte fia de legitimaasjelaach en wachtsje op de folgjende fernijing. Wat jo net dwaan moatte, is de tsjinst opnij starte om ien klant kwyt te reitsjen, want dat einiget ek alle oare sesjes en ferneatiget it bewiis fan it statusbestân foar dizze.

De folchoarder dy't ik op in libbene tsjinner rin

Ferbynje, lês de hjoeddeiske tastân, hannelje op it ID dat jo krekt lêzen hawwe, en lês it dan wer. Wearden dy't út in dokumint kopiearre binne, binne de meast foarkommende manier om de ferkearde persoan te deadzjen.

status                     # note the client ID and common name
client-kill 3              # end that session now
kill Test-Client           # alternative: by common name
status                     # confirm the session is gone

De namme en it nûmer hjirboppe binne plakferfangers, en ID's wurde werbrûkt neidat oare klanten ferbine. Befêstigje dat de rige ôfwêzich is foardat jo eat as dien opskriuwe, en kontrolearje dat it tal ferbûne klanten mei ien ferskood is ynstee fan mei ferskate.

Befêstigje dat it fuort bleaun is

Skriuw de common name, it tunneladres, it bûtenadres en de minút fan ferwidering op. As deselde common name in minút letter wer ferskynt, wurke de sesje-aksje en de legitimaasjelaach net, wat in hiel oare reparaasje is as in opdracht dy't nea fan krêft waard.

Test dan fan 'e klantkant. In ynlutsen sertifikaat heart de folgjende handshake te mislearjen; as it noch ferbynt, wurdt de CRL hielendal net lêzen, en dat is de befinning dy't it wurdich is om te rapportearjen. Kies de aksje by wat jo einigje moatte, befêstigje mei in twadde status, en reparearje de legitimaasjelaach as it antwurd langer as de sesje duorje moat.