રદ કરેલો ક્લાયંટ હજી કનેક્ટ થાય છે: યાદી ક્યારેય પહોંચી નહીં
રદ કરવું એ પ્રમાણપત્ર ચકાસણીનું ઇનપુટ છે, સત્ર સમાપ્ત કરતો આદેશ નહીં. નવું કનેક્શન અને ચાલતી ટનલ યાદીને કેવી રીતે જુએ છે તેની સરખામણી કરો.
રદ કરવું ક્યારેય ચાલતી ટનલમાં ઘૂસીને સત્ર ડિલિટ કરતું નથી. યાદી પ્રમાણપત્ર ચકાસણીનું ઇનપુટ છે અને TLS સત્ર શરૂ કરતા કંટ્રોલ-ચેનલ વિનિમય દરમિયાન તેને જોવામાં આવે છે. આ એક જ તથ્ય બંને આશ્ચર્ય સમજાવે છે: રદ કરેલો ક્લાયંટ ફરી કનેક્ટ થાય છે, કારણ કે યાદી ક્યારેય ચકાસનાર સુધી પહોંચી નહીં, અને હાલનું સત્ર ટકી રહે છે, કારણ કે કોઈએ કંઈ પણ ફરી ચકાસ્યું નહીં.
યાદી એ ઇનપુટ છે, ક્રિયા નહીં
સત્ર સ્થપાતી વખતે સર્વર ક્લાયંટ પ્રમાણપત્રને પોતાના વિશ્વાસ-એન્કર સામે માન્ય કરે છે, અને રદ કરવાની સૂચના તે નિર્ણયમાં યાદી-શોધ ઉમેરે છે. ચકાસણી સર્વર પર થાય છે, તેથી ક્લાયંટ જોઈ શકતો નથી કે તેનું પ્રમાણપત્ર રદ થયું છે અને એ જ પ્રમાણપત્ર આપવાનું ચાલુ રાખે છે. તેથી હજી કનેક્ટ થતું પ્રોફાઇલ ફક્ત એ સાબિત કરે છે કે કોઈ ચકાસનારે શૃંખલા સ્વીકારી, એ નહીં કે રદ કરવું નિષ્ફળ ગયું.
યાદી પોતે એક સહી કરેલી વસ્તુ છે, જેમાં ઇશ્યૂ તારીખ અને આગળની અપડેટ તારીખ હોય છે. અસંબંધિત યાદી, બીજી સત્તાએ સહી કરેલી યાદી અથવા જેની આગળની અપડેટ પસાર થઈ ગઈ છે તેવી યાદી વર્તમાન યાદીનો વિકલ્પ નથી, અને જૂની યાદી નકારાય છે કે ચૂપચાપ સ્વીકારાય છે તે તૈનાતી પર આધાર રાખે છે.
નવું કનેક્શન વિરુદ્ધ ચાલતું સત્ર
રદ કરવું સત્ર સ્થપાય કે ફરી વાટાઘાટ થાય ત્યારે મૂલ્યાંકન થાય છે, દરેક પેકેટ પર ડેટા-ચેનલ સામે નહીં. પહેલેથી કનેક્ટ થયેલા ક્લાયંટ પાસે ટ્રાફિક કી હોય છે, તેથી તેનું પ્રમાણપત્ર યાદીમાં દેખાયા પછી પણ તે પેકેટ પસાર કરતો રહે છે. મૂળભૂત ફરી-વાટાઘાટ અંતરાલ કલાકોમાં માપવામાં આવે છે, તેથી અપડેટ થયેલી યાદી નવા આવનારાઓ માટે અમલમાં આવી શકે છે જ્યારે ચાલતી ટનલ ચાલુ રહે છે.
| Situation | What the list does | When it applies |
|---|---|---|
| Fresh connection | Blocks the handshake | At verification, immediately |
| Renegotiation | Blocks the new exchange | At the next renegotiation interval |
| Established data channel | Nothing | Until the session ends |
તાત્કાલિક અમલ માટે ફક્ત યાદી નહીં, જાણી જોઈને કરેલી ક્રિયા જરૂરી છે. સેવા ફરી શરૂ કરવાથી દરેક ક્લાયંટ ફરી કનેક્ટ થવા મજબૂર થાય છે, જ્યારે મેનેજમેન્ટ ઇન્ટરફેસ દ્વારા એક સત્ર સમાપ્ત કરવાથી બાકીના અસ્પૃષ્ટ રહે છે. દરેક ઘટના માટે એક પસંદ કરો અને તમે કયું વાપર્યું તે નોંધો. બંને વિકલ્પોની અસરની પહોંચ જુદી છે, અને એ જ સાચો નિર્ણય છે.
ચકાસનાર ખરેખર જે ફાઇલ વાંચે છે તે પહોંચાડો
યાદી સત્તાના રેકોર્ડમાંથી બનાવીને પછી પ્રમાણપત્રો ચકાસતા દરેક મશીન પર કોપી કરવી જોઈએ. તેને CA હોસ્ટ પર બનાવીને સર્વર પર ક્યારેય ઇન્સ્ટોલ ન કરવી એ સૌથી સામાન્ય નિષ્ફળતા છે, અને તે બરાબર તૂટેલી રદ-કરવાની સુવિધા જેવી લાગે છે.
ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pemફાઇલ ખરેખર વંચાય છે કે નહીં તે બે વિગતો નક્કી કરે છે. સાપેક્ષ પાથ કન્ફિગરેશન ડિરેક્ટરી સામે ઉકેલાય છે, તેથી ઓપરેટરના ઘરમાં છોડેલી કોપી ક્યારેય ન મળે. અને ડિમન સામાન્ય રીતે શરૂ થયા પછી વિશેષાધિકારો છોડી દે છે, તેથી રનટાઇમ એકાઉન્ટને દરેક પિતૃ ડિરેક્ટરી પર શોધ પરવાનગી અને ફાઇલ પર વાંચન પરવાનગી જોઈએ. બંને રનટાઇમ એકાઉન્ટ સાથે ચકાસો, root સાથે નહીં, નહીં તો પરીક્ષણ ખોટી વસ્તુ સાબિત કરે છે.
systemd હોસ્ટ પર કઠોર કરેલું યુનિટ પણ પાથ છુપાવી શકે છે, ફક્ત-વાંચન દૃશ્ય અથવા સુરક્ષિત સિસ્ટમ ડિરેક્ટરી વડે. સેવાની અંદરથી તે ગુમ થયેલી ફાઇલથી અલગ ઓળખી શકાતું નથી, તેથી પરવાનગીની ભૂલ શોધવા જતાં પહેલાં યુનિટના નિયંત્રણો ચકાસો. ફાઇલના મોડને દોષ આપતાં પહેલાં યુનિટ ફાઇલ વાંચો.
ક્લાયંટ પર નહીં, સર્વર પર પુષ્ટિ કરો
સર્વર લોગ કહે છે શું થયું: યાદી ખોલવી, તેને લોડ કરવી, અથવા રદ કરેલા સીરિયલ નંબર સાથે ચકાસણી નિષ્ફળ થવી. ક્લાયંટ ફક્ત સામાન્ય હેન્ડશેક નિષ્ફળતા જણાવે છે, તેથી રદ કરવાનો નિર્ણય શોધવા માટે ક્લાયંટ લોગ ખરાબ જગ્યા છે.
રદ કરેલા પ્રોફાઇલમાંથી નવા પ્રયાસ સાથે ચકાસો અને પછી અટકો. તે પ્રોફાઇલમાંથી સફળ કનેક્શન એ ફાઇલનો પાથ અને રનટાઇમ એકાઉન્ટ તપાસવાનો સંકેત છે, યાદી ખોટી હતી એમ માની લેવાનો નહીં. તે સફળ પ્રયાસને સ્વીકૃતિ પરીક્ષણ તરીકે રાખો, અને તમે ન જોયેલું ફરી-કનેક્શન ગણશો નહીં.
શું કંઈ રદ કરતું નથી
લેપટોપમાંથી પ્રોફાઇલ ડિલિટ કરવું, ક્લાયંટમાંથી પ્રમાણપત્ર ફાઇલ દૂર કરવી અથવા વપરાશકર્તાને કનેક્ટ કરવાનું બંધ કરવા કહેવું સર્વર પર કંઈ બદલતું નથી. સત્તા રદ કરવાનું નોંધે અને ચકાસનાર પરિણામી યાદી વાંચે ત્યાં સુધી પ્રમાણપત્ર માન્ય રહે છે.
તેથી જ શૃંખલા લખવા યોગ્ય છે: રદ કરવાનું નોંધો, યાદી બનાવો અને સહી કરો, બરાબર એ જ ફાઇલ વિતરિત કરો, અને સેવા એકાઉન્ટ તેને વાંચી શકે તેની ખાતરી કરો. દરેક કડી ટૂંકી છે, અને કોઈ પણ ખૂટતી હોય તો રદ કરેલો ક્લાયંટ આનંદથી કનેક્ટ થતો રહે છે. ચાર લાઇનની ચેકલિસ્ટ એક પણ લાઇન ન હોય તેવી ધારણા કરતાં સારી છે.