Yntrokken kliïnt ferbynt noch: de list kaam nea oan
Yntrekken is in ynfier foar sertifikaatferifikaasje, gjin opdracht dy’t in sesje einiget. Ferlykje hoe’t in nije ferbining en in rinnende tunnel de list sjogge.
Yntrekken komt nea yn in rinnende tunnel om in sesje te wiskjen. De list is in ynfier foar sertifikaatferifikaasje en wurdt rieplachte by de útwikseling fan it kontrôle-kanaal dy’t in TLS-sesje begjint. Dy iene feit ferklearret beide ferrassings: in yntrokken kliïnt ferbynt wer, om’t de list nea by de ferifikaasje kaam, en in besteande sesje oerlibbet, om’t nimmen ea wat opnij ferifisearre.
In list is in ynfier, gjin aksje
By it opbouwen fan de sesje falt de server it kliïntsertifikaat tsjin syn fertrouwensankers, en de yntrekinstruksje foeget dêroan in listopsoch ta. De kontrôle bart op de server, dus de kliïnt kin net sjen dat syn sertifikaat yntrokken is en biedt itselde oan. In profyl dat noch ferbynt bewiist dêrmei allinne dat in ferifikaasje de keatling akseptearre, net dat yntrekken mislearre.
De list is sels in ûndertekene objekt mei in útjefdatum en in folgjende bywurkmingsdatum. In net-relatearre list, ien fan in oare autoriteit of ien waans folgjende bywurking ferstrutsen is, ferfangt de aktuele net, en oft in ferâldere list wegere of stilwei akseptearre wurdt, hinget fan de útrôl ôf.
Nije ferbining tsjin rinnende sesje
Yntrekken wurdt beoardiele by it opbouwen of opnij ûnderhanneljen fan in sesje, net tsjin it datakanaal by elk pakket. In kliïnt dy’t al ferbûn is hat ferkearskaaien, dus lit pakketten troch nei’t syn sertifikaat op de list ferskynt. It standert werynterval foar ûnderhanneljen wurdt yn oeren metten, dêrom kin in bywurke list foar nijkommers jilde wylst in rinnende tunnel bliuwt.
| Situation | What the list does | When it applies |
|---|---|---|
| Fresh connection | Blocks the handshake | At verification, immediately |
| Renegotiation | Blocks the new exchange | At the next renegotiation interval |
| Established data channel | Nothing | Until the session ends |
Direkt hanthavenjen freget in bewuste died, net allinnich de list. De tsjinst opnij starte twingt elke kliïnt om wer te ferbinen, wylst it beëinigjen fan ien sesje fia de behearinterface de oaren ûnoantaast lit. Kies ien per foarfal en skriuw op hokker jo brûkten. De twa opsjes hawwe in oar berik en dat is de echte beslissing.
Lever it bestân dat de ferifikaasje echt lêst
De list moat út de administraasje fan de autoriteit makke wurde en dêrnei nei elke masine kopiearre wurde dy’t sertifikaten ferifiearret. It op de CA-host meitsje en nea op de server ynstallearje is de meast foarkommende flater, en it liket krekt op in stikken yntrekfunksje.
ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pemTwa details beslisse oft it bestân echt lêzen wurdt. In relative paad wurdt tsjin de konfiguraasjemap ferbûn, dus in kopy yn de thúsmappe fan in operator wurdt miskien nea fûn. En de daemon jout nei it starten meastentiids syn rjochten op, dus it runtime-akkount hat sykrjocht nedich op elke âldermap en lêsrjocht op it bestân. Kontrolearje beide mei it runtime-akkount yn stee fan mei root, oars bewiist de test it ferkearde ding.
Op systemd-hosts kin in ferherde unit it paad ek ferbergje, mei in lês-allinnich byld of in beskerme systeemmap. Fan binnen de tsjinst is dat net fan in ûntbrekkend bestân te ûnderskieden, dus kontrolearje de beheiningen fan de unit foar’t jo in rjochteflater sykje. Lês it unitbestân foar’t jo de modus fan it bestân de skuld jouwe.
Befêstigje op de server, net op de kliïnt
It serverloch neamt wat der barde: it iepenjen fan de list, it laden derfan of it mislearjen fan ferifikaasje mei it yntrokken searjenûmer. De kliïnt meldt allinnich in algemiene handshake-flater, dêrom binne kliïntlochs in minne plak om in yntrekbeslissing te sykjen.
Ferifiearje mei in nije poging fan it yntrokken profyl en stop dan. In suksesfolle ferbining fan dat profyl is it sinjaal om it bestânspaad en it runtime-akkount te besjen, net om oan te nimmen dat de list ferkeard wie. Hâld dy suksesfolle poging as akseptaasjetest, en tel gjin werferbining dy’t jo net seagen.
Wat neat yntrekt
It profyl fan in laptop wiskje, it sertifikaatbestân fan de kliïnt helje of de brûker freegje om op te hâlden mei ferbinen feroaret neat op de server. It sertifikaat bliuwt jildich oant de autoriteit it yntrekken fêstleit en de ferifikaasje de resultearjende list lêst.
Dêrom is de keatling it opskriuwen wurdich: registrearje it yntrekken, meitsje en ûndertekenje de list, ferspriede krekt dat bestân en befêstigje dat it tsjinstakkount it lêze kin. Elke skakel is koart, en elke ûntbrekkende lit in yntrokken kliïnt fleurich ferbine. In checklist fan fjouwer rigels ferslacht in oanname sûnder ien.