Ien OpenVPN-klant pauzearje sûnder syn sertifikaat yn te lûken

As in laptop in wike nei de reparaasjebank giet, is de gewoane ympuls om syn sertifikaat út de CA te ferwiderjen. Dat record is it grutboek fan de útjouwer, net in tydlike tagongsskeakelder. OpenVPN hat al in meganisme per klant om in ferbining te wegerjen, en it brûken dêrfan hâldt de skiednis fan de CA yntakt. De twa kontrôles beantwurdzje ferskillende fragen, en se trochinoar helje skept wurk as it apparaat weromkomt.

Twa records, twa ferskillende taken

De CA-database registrearret wat de útjouwer tekene hat en wat er letter ynlutsen hat. It wurdt rieplachte troch ynlûkprosessen en troch alles wat de CRL of syn eigen kopy fan it grutboek lêst. In tagongsregel libbet op de tsjinner en jildt foar de ferbiningen dy't dy tsjinner akseptearret.

It fuortheljen fan in útjefterecord lûkt in sertifikaat net betrouber yn, en it skeadet de skiednis dêr't lettere ynlûking of audyt fan ôfhinklik is. De kontrôle oan de tsjinnerkant is smeller en weromdraaibaar. Skriuw it ferskil yn 'e wizigingsnotysje, sadat de folgjende persoan net siket nei in ynlûking dy't nea bard is.

Set de deaktivearringsrigel yn it goede bestân

Foar in mienskipstsjinnder dy't kliïntspesifike konfiguraasje brûkt, wegeret de dokumintearre disable-rigel ien keazen klant. Hy heart yn it bestân fan dy klant ûnder de aktive client-config-dir, net yn 'e haadkonfiguraasje fan de tsjinner. Befêstigje de map dy't de rinnende daemon echt brûkt, en befêstigje dan de identiteit dy't it bestân kiest. In bestân neamd nei de ferkearde algemiene namme liket goed en wurdt nea lêzen.

disable

Mappingkarren binne hjir wichtich. Opsjes lykas username-as-common-name feroarje hokker identiteit it sykjen brûkt, dat in bestân neamd nei it sertifikaatûnderwerp is miskien net it bestân dat tapast wurdt. Lês de OpenVPN-referinsje foar de ynstallearre ferzje ynstee fan te nimmen dat in rigel yn elke kontekst jildich is.

Skuif nije tagong los fan aktive sesjes

It wegerjen fan de folgjende hânskud foarmet net in ein oan in tunnel dy't al oerein stiet. As it apparaat no ôfsluten wurde moat, brûk dan ek it autorisearre sesjebehearpaad fan de tsjinner foar dy spesifike sesje. Oars kin de klant trochwurkje oant er sels wer ferbynt, en it tichtdwaan fan it laptopdeksel of it ferlitten fan de klant is in aksje oan de kliïntkant dy't jo neat oer de tsjinner fertelt.

Ferifiearje beide útkomsten: de aktive sesje stoppet as jo dat wolle, en in nij hânskud wurdt wegere. In sletten klantfinster bewissiget neat oer it belied fan de tsjinner.

As de ynset gjin stipe wize hat om in aktive sesje te beëinigjen, registrearje dy gap dan ynstee fan ien te ymprovisearjen. In blokkearre poarte op de klant is net itselde as belied oan de tsjinnerkant.

Pauze en kompromis binne ferskillende eveneminten

In ferlern of stellen kaai is in ynlûkingsevenemint, en in lokale tagongspauze ferfangt it net. Oare tsjinners dy't itselde CA fertrouwe, diele dizze kliïntspesifike regel fan dizze tsjinner net. Folgje it ynlûk- en ferfangingsproses fan de útjouwer en hâld de CA-database as it autoritative record. In tydlike pauze freget lykwols in dokumintearre reden en in werstelstap.

As de tagong wersteld is, ferwiderje de beheining fia it komponint dat der eigner fan is en befêstigje dat in nije ferbining slagget. Registrearje ek it paad fan 'e disable-rigel, want in lettere konfiguraasjesynchronisaasje kin him stil weromsette. Hâld de pauze, har eigner en de datum yn 'e ynsetnotysjes, sadat de folgjende behearder moannen letter gjin ûnferklearre disable-rigel fynt.