Seisiún amháin OpenVPN a chur ar sos: cén fáth gurb é an tarraingt siar an luamhán mícheart

Is ionann an chuma atá ar rochtain cliaint amháin a chur ar sos agus í a bhaint go deo go dtí go ndéanann tú iarracht ceann acu a chealú. Scríobhann tarraingt siar teastais taifead a mheasann an freastalaí mar rud deireanach, agus is éard atá i gceist lena aisiompú ná bunachar sonraí an eisitheora a chur in eagar de láimh. Is ordú bainistíochta é an tollán beo a scaoileadh nach n-athraíonn aon rud faoi mhuinín. Roghnaigh an luamhán trí fhiafraí an bhfuil an eochair fós iontaofa, ní trí fhiafraí cé chomh práinneach agus a mhothaítear an t-iarratas.

An creideamh: is ionann tarraingthe siar agus curtha ar fionraí

Cuirtear conraitheoir ar sos go ceann seachtaine agus is é an tarraingt siar an t-athfhrithghníomhú, mar go gcloiseann tarraingt siar cosúil le rud éigin a mhúchadh. Breathnaíonn sé slachtmhar, tógann sé deich soicind, agus fágann sé eagarthóireacht bunachar sonraí mar an t-aon bhealach ar ais. Tá an t-athfhrithghníomhú intuigthe agus tá sé níos gaire do phas a dhó ná do dhoras a dhúnadh. Teastaíonn cóireáil éagsúil ó ghléas atá ar sos agus ó eochair atá i mbaol, agus ní féidir ach ceann amháin acu a aisiompú go saor.

Baineann an t-idirdhealú leis an dintiúr seachas leis an duine. Is féidir eochair atá fós sna lámha cearta a chur ar sos agus a atosú gan aon chailliúint muiníne. Níor cheart eochair a bhféadfaí a chóipeáil a athchóiriú riamh, mar go ndeirtear leis an athchóiriú nach bhfuil an chóip ann.

Scríobh an freagra síos sula dteagmhálann tú le ceachtar den dá chóras. Mura féidir leat a rá an bhfuil an eochair nochtaithe, is é an freagra coimeádach an ionadú.

Scaoil an seisiún beo leis an gcomhéadan bainistíochta

OpenVPN comhéadan bainistíochta a liostaíonn seisiúin agus a mharaíonn ceann acu de réir an ainm choitinn. Cumasaigh é ar localhost, coinnigh ón gcomhéadan poiblí é, agus seol an t-ordú maraithe nuair a chaithfidh seisiún imeacht anois. Ní dhúnann an t-ordú ach an tollán sin, agus leanann gach cliaint eile ag obair.

Is freagra é seo ar fhadhb ghníomhach, ní polasaí fionraíochta. Is féidir leis an bpróifíl chéanna athnascadh i gceann nóiméid, mar nár athraigh aon rud faoina dintiúr. Úsáid é nuair a chaithfidh an seisiún imeacht agus an cinneadh buan fós á dhéanamh.

Deimhnigh go raibh an seisiún nasctha sula maraíonn tú é, ionas nach mbeidh tú ag seilg cliant nár nasc riamh. Priontálann an t-ordú stádais thíos an méid atá nasctha faoi láthair.

printf 'status 2\nquit\n' | nc 127.0.0.1 7506
printf 'kill kiosk-14\nquit\n' | nc 127.0.0.1 7506

Má thuairiscíonn an marú nach bhfuil a leithéid de chliant ann, ní hé an t-ainm coiteann sa teastas an teaghrán a chlóscríobh tú. Léigh aschur an stádais seachas ainm an chomhaid phróifíle.

Cad a rialaíonn an CRL i ndáiríre

Ní fhéachann an freastalaí ar bhratach tarraingthe siar atá stóráilte ar an teastas. Léann sé an liosta tarraingthe siar teastas a ainmnítear in crl-verify, ar gach nasc nua, agus diúltaíonn sé do theastas a bhfuil a shraithuimhir le feiceáil ar an liosta sin. Leanann dhá iarmhairt as, agus tá an dá cheann tábhachtach go hoibríochtúil. Caithfidh an comhad a bheith inléite ag an gcuntas a scaoileann an freastalaí a phribhléidí chuige, agus leanann cliant atá nasctha cheana ag obair go dtí go n-athnascann sé.

Cuireann an dara hiarmhairt sin iontas ar dhaoine le linn eachtraí. Ní dhúnann tarraingt siar teastais an tollán atá á úsáid aige faoi láthair. Péireáil an tarraingt siar le marú bainistíochta más gá don seisiún deireadh a chur láithreach, agus caith leis an dá ghníomh mar chéimeanna ar leith sa lámhleabhar.

Scrúdaigh an liosta chun a fheiceáil cad a chuirfidh an freastalaí i bhfeidhm i ndáiríre, seachas muinín a bheith agat as stampa ama an chomhaid dheireanaigh a chóipeáil tú. Is é líon na sraithuimhreacha an chuid a bhfuil tábhacht léi.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | sed -n '1,14p'
ls -l /etc/openvpn/server/crl.pem

Tá an chuma chéanna ar liosta gan iontrálacha agus ar liosta leis na hiontrálacha cearta i liostú eolaire, agus is ar an gcúis sin is fiú líon na sraithuimhreacha a phriontáil. Tá an líne ceadanna chomh tábhachtach céanna, mar go gcruthaíonn comhad nach féidir leis an daemon a léamh teip a bhíonn cosúil le cliant diúltaithe.

Taifead a athchóiriú, go cúramach

Ciallaíonn athchóiriú teastais taifead sa bhunachar sonraí eisithe a aisiompú agus liosta nua a fhoilsiú. Coinníonn easy-rsa 3 an bunachar sin mar index.txt faoin eolaire PKI, agus d'úsáid leaganacha níos sine socrú eile. Tosaíonn ró le litir stádais agus le dáta éaga. Cuireann ró tharraingthe siar stampa ama don tarraingt siar isteach sula leanann sé ar aghaidh leis an sraithuimhir, le hainm comhaid an teastais agus leis an ainm sainiúil. Ciallaíonn sé ró a chur ar ais an stampa ama sin a scriosadh agus an litir a aisiompú, agus gach rud eile a fhágáil gan chorraf.

Déan cúltaca den chomhad ar dtús, agus scríobh an eagarthóireacht mar script seachas clóscríobh in eagarthóir téacs. Briseann clóscríobh míchruinn a athraíonn líon na réimsí ar ró an eisiúint do gach teastas a chuirtear leis ina dhiaidh sin. Sin an fáth ar fiú an t-athrú a uathoibriú agus an comhad a chóipeáil sula dteagmhálann tú leis.

Teipeann ar an dara tarraingt siar den ainm céanna go minic freisin, mar gur aistrigh an chéad rith an teastas sin agus a eochair amach as na heolairí a mbíonn an uirlis ag súil leo a fháil. Ansin ní féidir leis an uirlis an rud a iarradh uirthi a tharraingt siar a aimsiú, agus ní bhíonn an teachtaireacht earráide soiléir i gcónaí faoin gcúis.

cp /etc/easy-rsa/pki/index.txt /root/index.txt.$(date +%F-%H%M)
grep -c '^R' /etc/easy-rsa/pki/index.txt
easyrsa gen-crl

Foilsigh an liosta nua, ceartaigh a úinéireacht, agus déan don fhreastalaí é a léamh. Is leor athlódáil ar fhormhór na suiteálacha, ach caithfidh an dearbhú teacht ó nasc úr, mar nár sheiceáil an seisiún atá ann cheana aon rud arís.

Seiceáil cén luamhán atá tuillte ag an gcás

Cuir an cheist amháin a shocraíonn an lámhleabhar ar fad: an bhfuil an eochair phríobháideach fós ach san áit ar cheart di a bheith. Más ea, clúdaíonn marú an tseisiúin móide sos doiciméadaithe an cás agus ní fhágtar aon taifead buan ina dhiaidh. Mura bhfuil, is é an t-aon fhreagra sábháilte eochair nua agus an seanteastas fágtha tarraingthe siar.

Ansin fíoraigh an toradh le hiarracht nasctha seachas le difríocht chumraíochta. Insíonn an difríocht duit cad a bhí ar intinn agat, agus insíonn an nasc duit cad a chuireann an freastalaí i bhfeidhm.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | grep -c 'Serial Number'
printf 'status 2\nquit\n' | nc 127.0.0.1 7506

Nuair a nascann cliant athchóirithe agus nuair a fheictear in aschur an stádais é, d'oibrigh eagarthóireacht an taifid. Nuair a dhiúltaítear do chliant tarraingthe siar agus nuair a ainmníonn an logáil an CRL, d'oibrigh an tarraingt siar. Is fadhb ceadanna nó athlódála é aon rud eatarthu, agus is fiú é a shocrú sula dtagann an chéad iarratas eile.