Deimhniú VPN aistarraingthe fós ag nascadh? Seiceáil forfheidhmiú CRL

D'aistarraing tú an deimhniú, ghine tú liosta nua, agus tógann an phróifíl shean tollán fós. Níl aon rud briste san aistarraingt féin: is ráiteas sínithe é CRL nach bhfuil sraithuimhir bailí a thuilleadh, agus ní athraíonn sé rochtain go dtí go luchtaíonn an chomhpháirt a chríochnaíonn TLS é, don eisitheoir ceart, sula ndéanann sé an cinneadh glactha. Is sa chuid dheireanach sin atá formhór na gcásanna seo, agus sin é an fáth go bhfuil aistarraingt agus diúltú ina dhá fhíric ar leith.

Oibrigh tríd na cúig sheiceáil thíos in ord, agus stop ag an gcéad cheann nach seasann, toisc go dtuigeann gach seiceáil níos déanaí go bhfuil na cinn roimhe fíor.

Seiceáil cé acu comhpháirt a dhéanann an cinneadh glactha

Ainmnigh an próiseas a fhíoraíonn deimhniú an chliaint, mar ní féidir ach leis an bpróiseas sin liosta a fhorfheidhmiú. Ar fhreastalaí OpenVPN is é an daemon féin é, cumraithe le crl-verify. Ar ocserv is é an líne crl in ocserv.conf é. Ar strongSwan is iad na CRLanna luchtaithe mar aon le strictcrlpolicy na hionchuir. Is féidir le seachfhreastalaí nó fearas a chríochnaíonn TLS os comhair an VPN a bheith ina fhíoraitheoir ceart freisin, agus má tá, ní fheiceann an daemon taobh thiar de deimhniú an chliaint riamh.

Baineann WireGuard le catagóir eile. Níl aon deimhnithe ná liosta aistarraingthe aige; glactar le piara trína eochair phoiblí sa chumraíocht, mar sin is éard atá i gceist le rochtain a chríochnú an eochair sin a bhaint. Má tá tú ag lorg CRL i suiteáil nach bhfuil ann ach WireGuard, níl an mheicníocht sin ann.

Bí ag faire freisin ar an ngaiste ar thaobh an chliaint. Cliant a dhiúltaíonn nascadh toisc nach maith leis deimhniú an fhreastalaí tá sé ag forfheidhmiú slabhra an fhreastalaí, ní ag aistarraingt a chreidúnaithe féin. Ní aistarraingtear deimhniú úsáideora ach amháin san áit a bhfíoraítear an deimhniú úsáideora sin, agus is beagnach i gcónaí é taobh an fhreastalaí.

Seiceáil cé an t-eisitheoir a síníodh an liosta dó

Tá CRL teoranta d'aon CA amháin a eisíonn. Le fréamh agus idirmheánach, tagann deimhnithe duille ón idirmheánach, mar sin is é CRL an idirmheánaigh an liosta a bhfuil tábhacht leis; ní deir liosta na fréimhe aon rud faoi na duilleoga sin. Fíoraitheoir a dhírítear ar an gcomhad mícheart parsálann sé go sásta é, ní aimsíonn sé iontráil mheaitseála ar bith agus glacann sé le gach rud.

Deimhnigh an péireáil sula mbaineann tú leis an daemon. Caithfidh eisitheoir an deimhnithe a bheith ag teacht le subject an liosta:

openssl x509 -in client.crt -noout -issuer -serial
openssl crl  -in intermediate.crl -noout -issuer -lastupdate -nextupdate

Nuair a thagann an dá rud ón CA céanna, is é an tsraithuimhir a phriontáiltear don deimhniú an luach a chaithfidh a bheith ar an liosta. Mura n-aontaíonn siad, tá an CRL mícheart nó an chóip mhícheart de agat.

Baineann bailíocht leis an seiceáil chéanna. Déanann nextUpdate san am atá thart an liosta a sheanú, agus diúltóidh fíoraitheoir a theipeann go dúnta do gach cliant ansin seachas don cheann aistarraingthe amháin.

Seiceáil go bhfuil an tsraithuimhir sa chóip a luchtaigh an daemon

Scríobhann aistarraingt iontráil i mbunachar sonraí an CA, agus scríobhann athghiniúint comhad nua. Ní shroicheann ceachtar den dá ghníomh daemon atá ag rith a luchtaigh an tseanchóip ag am tosaithe. Dumpáil an liosta agus cuardaigh an tsraithuimhir:

openssl crl -in intermediate.crl -noout -text | grep -i -A2 'Serial Number'
openssl ca -revoke client.crt
openssl ca -gencrl -out intermediate.crl

Seiceáil ansin conas a thógann do chur i bhfeidhm an comhad. Léann OpenVPN cosán a thugtar do crl-verify aon uair amháin ag am tosaithe, mar sin teastaíonn atosú nó comhartha atosaithe le haghaidh liosta nua; déantar an rogha chéanna a dhírítear ar fhillteán a athléamh do gach nasc, agus sin é an fáth a bhfuil mód an fhillteáin ann. Caithfidh strongSwan a chreidúnaithe a athluchtú, mar shampla le swanctl --load-creds. Is dhá fhíric ar leith é go bhfuil an comhad ar an diosca ceart agus go n-úsáideann an fíoraitheoir é.

Seiceáil an polasaí le haghaidh liosta atá ar iarraidh nó as feidhm

Sé seo an cinneadh nach ndéanann go leor suiteálacha go sainráite riamh, agus socraíonn sé an gcosnaíonn aistarraingt thú nó an gcuireann sé gach duine amach. Ciallaíonn fail-closed nach dtarlaíonn diúltú as aon eolas aistarraingthe inúsáidte; ciallaíonn fail-open go leanann an fíoraitheoir air gan é. Nochtann strongSwan an rogha mar strictcrlpolicy. Diúltaíonn OpenVPN le crl-verify tosú ar chomhad nach féidir leis a léamh ná a pharsáil, agus tagann liosta as feidhm chun solais mar earráid fhíoraithe TLS faoi CRL as feidhm seachas mar ghlacadh ciúin.

Cibé treo a roghnaíonn tú, is mó a bhaineann an uathoibriú ná an rogha: coinníonn post a athghineann an CRL roimh nextUpdate, agus rabhadh nuair a éiríonn an chóip imlonnaithe níos sine, ceachtar polasaí ó bheith ina eachtra. Bogann seiceáil ar líne le OCSP an úire chuig freagróir, ach tá an riail chéanna i bhfeidhm, mar ní athraíonn fíoraitheoir nach bhfuil cumraithe chun an freagra a sheiceáil aon rud.

Seiceáil an seisiún beo, ansin cóipeanna na heochrach

Déantar aistarraingt a mheas le linn fíorú an deimhnithe, a tharlaíonn ag am naisc agus ag am ath-idirbheartaithe. Leanann seisiún bunaithe air go dtí go ndéanann sé ath-idirbheartú, agus is é réamhshocrú OpenVPN uair amháin san uair le reneg-sec 3600. Mura gcaithfidh an duine a bheith as an líonra anois, cuir deireadh leis an seisiún chomh maith leis an liosta a fhoilsiú, agus ansin deimhnigh go ndiúltaítear don athnasc.

Scar an creidiúnú óna chóipeanna. Ní stopann scriosadh próifíle ar ríomhaire glúine amháin cóip eile den eochair phríobháideach chéanna ó fhíordheimhniú; is í an aistarraingt a dhéanann gach cóip gan úsáid, agus ní dhéantar é ach amháin nuair a sheasann na seiceálacha roimhe. Tabhair a dheimhniú féin do ghléas athsholáthair ionas gur féidir ceann a aistarraingt gan an ceann eile a bhaint.

Sula nglaonn tú críochnaithe air: tá an chomhpháirt fhíoraithe sainaitheanta, tagann eisitheoir an liosta le heisitheoir na duille, tá an tsraithuimhir aistarraingthe sa chóip a luchtaigh an daemon i ndáiríre, tá an polasaí le haghaidh liostaí atá ar iarraidh nó as feidhm d'aon ghnó agus faoi mhonatóireacht, agus cuireadh deireadh leis an seisiún gníomhach seachas fanacht leis. Tá na formáidí taobh thiar de gach rud sonraithe in RFC 5280.