OpenVPN cliant amháin a chiceáil: kill, deny nó teastas a chúlghairm?

Tá common name agus seoladh i do nótaí, agus trí ordú a bhfuil cuma orthu go léir cliant a bhaint. Ní dhéanann ach ceann amháin an rud a theastaíonn uait, agus braitheann an rogha ar cé acu an gá duit deireadh a chur leis an seisiún atá ag rith anois, an chéad logáil eile a dhiúltú, nó an ceart chun nascadh ar chor ar bith a bhaint. Léigh an chéannacht atá agat i ndáiríre sula ndéanann tú teagmháil le haon rud, mar tugann linn OpenVPN an seoladh tolláin chéanna do sheisiún eile níos déanaí.

Cén chéannacht atá agat i ndáiríre

Is é comhad stádais leagan 3 an gnáthphointe tosaithe. Iompraíonn an chuid CLIENT_LIST an common name, an seoladh fíor, na peitilshonraithe agus am na nascachta; mapálann an chuid ROUTING TABLE seoladh fíorúil chuig common name le hamstampa den tagairt dheireanach. Is é an common name an chéannacht chobhsaí. Sannadh is ea an seoladh fíorúil, agus féadann an seoladh fíor taobh thiar de NAT athrú idir seisiúin gan aon rud ar an bhfreastalaí a athrú.

Nochtann an comhéadan bainistíochta radharc comhchosúil trína ordú status agus cuireann sé ID cliaint le gach seisiún. Sin an ID a bhfuiltear ag súil leis ag client-kill, agus ní hé an seoladh tolláin é. Más gá duit a fháil amach cén common name a fuair cén seoladh ag am an naisc, tá an dá rud i dtimpeallacht script client-connect, mar aon leis an seoladh seachtrach iontaofa, ach ritheann an script sin mar úsáideoir OpenVPN agus teastaíonn cosán logála in-scríofa uaidh.

Marú láithreach, diúltú ag logáil isteach, cúlghairm chun deiridh

Is gníomhartha seisiúin iad an dá ordú bhainte sa chomhéadan bainistíochta. Tógann kill common name nó seoladh fíor agus port; tógann client-kill an ID cliaint agus cuireann sé deireadh leis an ásc sin láithreach. Ní bloc é ceachtar acu: athnascann cliant arna chiceáil a bhfuil teastas agus focal faire bailí aige laistigh de shoicindí, rud atá go maith nuair a bhíonn piara tástála á athchúrsáil agat agus gan úsáid nuair a goideadh ríomhaire glúine.

Is cinneadh de chineál eile é client-deny. Eisítear de ghnáth é ó chrúca fíordheimhnithe nó client-connect agus diúltaíonn sé don seisiún le cúis, mar sin oireann sé do pholasaí a dhiúltaíonn logáil isteach seachas ceann a chuireann isteach ar nasc. Tugann an doiciméadú rabhadh freisin go ndéanann diúltú a eisítear le linn ath-idirbheartaithe TLS an eochair ath-idirbheartaíochta a neamhbhailíochtú agus féadann an seisiún atá ann cheana leanúint go dtí go ndúnfaidh an fhuinneog aistrithe. Más é an riachtanas go bhfuil an cliant imithe anois, is é an freagra doiciméadaithe client-kill.

Tá baint mharthanach faoi bhun seo go léir. Cúlghair an teastas agus déan cinnte go bhfuil crl-verify ag díriú ar liosta a athlódálann an freastalaí i ndáiríre, díchumasaigh an comhad cumraíochta a bhaineann go sonrach leis an gcliant san eolaire ccd, nó díchumasaigh an cuntas sa chúlsheirbhís a bhfreagraíonn an crúca fíordheimhnithe di. Níl cúlghairm láithreach ach an oiread: le socruithe réamhshocraithe reneg-sec féadann seisiún bunaithe leanúint ar aghaidh go dtí go n-ath-idirbheartóidh sé, mar sin comhlánaíonn an gníomh seisiúin agus an gníomh dintiúirí a chéile, ní roghanna malartacha iad.

An bhfuil an soicéad bainistíochta saor?

Freastalaíonn an comhéadan bainistíochta ar chliant amháin ag an am. Má tá an nasc á choinneáil ag GUI nó ag daemon monatóireachta cheana féin, ní féidir le do script dul i gceangal ina aice, agus ag brath ar an gcliant féadfaidh tú an ceann atá ann a dhíbirt seachas teip go glan. Téann a phasfhocal i dtéacs soiléir ar an soicéad sin, mar sin baineann sé le seoladh áitiúil nó le soicéad unix, riamh le comhéadan poiblí.

Nuair nach féidir leat an soicéad a thógáil, tá roghanna agat fós, agus tá siad go léir níos moille. Scaoil seisiún an GUI ar dtús má tá sé faoi do smacht agat, nó glac leis an mbealach trí chiseal na ndintiúirí agus fan don chéad ath-idirbheartú eile. Rud nár cheart duit a dhéanamh ná an tseirbhís a atosú chun cliant amháin a chaitheamh amach, mar cuireann sé sin deireadh le gach seisiún eile freisin agus scriosann sé fianaise an chomhaid stádais don cheann seo.

An seicheamh a ritheann mé ar fhreastalaí beo

Ceangail, léigh an staid reatha, gníomhaigh ar an ID a léigh tú díreach, ansin léigh arís é. Is iad luachanna a chóipeáiltear ó dhoiciméad an bealach is coitianta chun an duine mícheart a mharú.

status                     # note the client ID and common name
client-kill 3              # end that session now
kill Test-Client           # alternative: by common name
status                     # confirm the session is gone

Is áiteanna coinneála iad an t-ainm agus an uimhir thuas, agus athúsáidtear IDanna tar éis do chliaint eile dícheangal. Deimhnigh nach bhfuil an ró ann sula scríobhann tú aon rud mar dhéanta, agus seiceáil gur bhog líon na gcliaint atá ceangailte faoi cheann amháin seachas roinnt.

Deimhnigh gur fhan sé amuigh

Taifead an common name, an seoladh tolláin, an seoladh seachtrach agus nóiméad an bhainte. Má fheictear an common name céanna arís nóiméad níos déanaí, d'fheidhmigh an gníomh seisiúin agus níor fheidhmigh ciseal na ndintiúirí, rud atá ina chóiriú iomlán difriúil ón gcás inar ordú nach ndeachaigh i bhfeidhm riamh.

Ansin tástáil ó thaobh an chliaint. Ba cheart do theastas cúlghairthe teip ar an gcéad chroitheadh láimhe eile; má nascann sé fós, níl an CRL á léamh ar chor ar bith, agus sin an toradh ar fiú é a thuairisciú. Roghnaigh an gníomh de réir an rud is gá duit a chríochnú, deimhnigh le dara status, agus sásaigh ciseal na ndintiúirí nuair a chaithfidh an freagra maireachtáil níos faide ná an seisiún.