Suspenda un cliente de OpenVPN sen revogar o seu certificado

Cando un portátil pasa unha semana no banco de reparacións, o instinto habitual é quitar o seu certificado da CA. Ese rexistro é o libro do emisor, non un interruptor temporal de acceso. OpenVPN xa ten un mecanismo por cliente para rexeitar unha conexión, e usalo mantén intacta a historia da CA. Os dous controis responden a preguntas distintas, e mesturalos crea traballo cando o dispositivo volve.

Dous rexistros, dous traballos diferentes

A base de datos da CA rexistra o que asinou o emisor e o que revogou despois. Consúltana os fluxos de revogación e todo o que le a CRL ou a súa propia copia do rexistro. Unha regra de admisión vive no servidor e aplícase ás conexións que ese servidor acepta.

Borrar un rexistro de emisión non revoga un certificado de forma fiable e dana a historia da que dependen a revogación ou a auditoría posteriores. O control do lado do servidor é máis estreito e reversible. Escriba a diferenza na nota de cambio para que a seguinte persoa non busque unha revogación que nunca ocorreu.

Pon a directiva de desactivación no ficheiro correcto

Para un servidor comunitario que usa configuración específica por cliente, a directiva documentada disable rexeita un cliente seleccionado. Pertence ao ficheiro dese cliente dentro do client-config-dir activo, non á configuración principal do servidor. Confirme o directorio que usa realmente o daemon en execución e despois confirme a identidade que selecciona o ficheiro. Un ficheiro nomeado co nome común equivocado parece correcto e nunca se le.

disable

As decisións de mapaxe importan aquí. Opcións como username-as-common-name cambian que identidade usa a busca, así que un ficheiro nomeado co suxeito do certificado pode non ser o que se aplica. Lea a referencia de OpenVPN da versión instalada en lugar de supor que unha directiva é válida en todos os contextos.

Separa a admisión nova das sesións activas

Rexeitar o seguinte handshake non remata un túnel que xa está levantado. Se o dispositivo debe desconectarse agora, use tamén a ruta autorizada de xestión de sesións do servidor para esa sesión concreta. Se non, o cliente pode seguir funcionando ata que se reconecte por si mesmo, e pechar a tapa do portátil ou saír do cliente é unha acción do lado do cliente que non di nada do servidor.

Verifique ambos os resultados: a sesión activa detense cando vostede quere e un novo handshake é denegado. Unha xanela de cliente pechada non demostra nada sobre a política do servidor.

Se o despregamento non ten unha forma compatible de rematar unha sesión activa, rexistre esa carencia en lugar de improvisar unha. Un porto bloqueado no cliente non é o mesmo que unha política do lado do servidor.

Pausa e compromiso son eventos distintos

Unha clave perdida ou roubada é un evento de revogación, e unha pausa local de acceso non o substitúe. Os demais servidores que confían na mesma CA non compartirán esta regra específica do cliente. Siga o proceso de revogación e substitución do emisor e manteña a base de datos da CA como rexistro autoritativo. Unha pausa temporal, pola contra, necesita un motivo documentado e un paso de restauración.

Cando se restableza o acceso, quite a restrición mediante o compoñente que a posúe e confirme que unha conexión nova funciona. Anote tamén a ruta da liña disable, porque unha sincronización de configuración posterior pode devolvela en silencio. Garde a pausa, o seu propietario e a data nas notas de despregamento, para que o seguinte administrador non atope meses despois unha liña disable sen explicación.