Dakatar da abokin ciniki ɗaya na OpenVPN: me ya sa soke ba ita ce madaidaicin hanya ba

Dakatar da shiga abokin ciniki ɗaya da cire shi har abada suna kama da aiki ɗaya har sai ka gwada mayar da ɗaya daga cikinsu. Soke takardar shaida yana rubuta rikodin da uwar garke ke ɗauka a matsayin na ƙarshe, kuma mayar da shi yana nufin gyara bayanan mai bayarwa da hannu. Fitar da ramin da ke aiki umarni ne na gudanarwa wanda ba ya canza kome a amana. Zaɓi hanyar ta hanyar tambayar ko makullin har yanzu abin dogaro ne, ba ta tambayar yadda buƙatar take da gaggawa ba.

Imani: an soke da an dakatar iri ɗaya ne

An dakatar da ɗan kwangila na mako ɗaya kuma amsar gaggawa ita ce soke, domin sokewa tana jin kamar kashe wani abu. Yana kama da tsari, yana ɗaukar daƙiƙa goma, kuma yana barin gyaran bayanai a matsayin hanya ɗaya tilo ta dawowa. Amsar gaggawa abin fahimta ne kuma ta fi kusa da ƙone fasfo fiye da rufe ƙofa. Na'urar da aka dakatar da makullin da aka lalata suna bukatar magani daban, kuma ɗaya ne kawai daga cikinsu mai sauƙin mayarwa.

Bambancin ya shafi takardar tabbaci ne ba mutum ba. Makullin da har yanzu yake hannun da ya dace ana iya dakatar da shi da ci gaba ba tare da wata asarar amana ba. Makullin da wataƙila an kwafa shi bai kamata a sake dawo da shi ba, domin sake dawo da shi yana nuna cewa kwafin babu.

Rubuta amsar kafin ka taɓa ɗaya daga cikin tsarin biyu. Idan ba za ka iya cewa an fallasa makullin ba, amsar da ta dace ita ce sauyawa.

Fitar da zaman da ke aiki ta hanyar mu'amalar gudanarwa

OpenVPN yana bayar da mu'amalar gudanarwa wadda za ta iya lissafa zama da kashe ɗaya daga cikinsu da sunan gama gari. Kunna ta a localhost, nisanta ta daga mu'amalar jama'a, kuma aika umarnin kashewa lokacin da zaman ya kamata ya ɓace yanzu. Umarnin yana rufe wannan ramin ne kawai, kuma kowane abokin ciniki yana ci gaba da aiki.

Wannan amsa ce ga matsala mai aiki, ba manufar dakatarwa ba. Irin wannan bayanin yana iya sake haɗawa cikin minti ɗaya, domin babu abin da ya canza a takardar tabbacin sa. Yi amfani da ita lokacin da zaman ya kamata ya tafi kuma har yanzu ana yanke shawara mai dorewa.

Tabbatar cewa zaman yana da alaƙa kafin ka kashe shi, domin kada ka nemi abokin ciniki wanda bai taɓa haɗawa ba. Umarnin matsayi da ke ƙasa yana buga abin da ke da alaƙa a yanzu.

printf 'status 2\nquit\n' | nc 127.0.0.1 7506
printf 'kill kiosk-14\nquit\n' | nc 127.0.0.1 7506

Idan kashewar ta ba da labarin cewa babu irin wannan abokin ciniki, sunan gama gari a takardar shaidar ba shi ne igiyar da ka buga ba. Karanta fitarwar matsayi maimakon sunan fayil ɗin bayani.

Abin da CRL ke sarrafawa a haƙiƙa

Uwar garke ba ta duba tutar soke da aka ajiye a takardar shaida ba. Tana karanta jerin soke takardun shaida da aka ambata a crl-verify, a kowace sabuwar haɗi, kuma tana ƙin takardar shaidar da lambar jerin ta ta bayyana a wannan jeri. Sakamako biyu ne ke biyo baya, kuma dukansu suna da muhimmanci a aiki. Fayil ɗin dole ya kasance abin karantawa ga asusun da uwar garke ke sauke haƙƙoƙinta zuwa gare shi, kuma abokin ciniki da ya riga ya haɗa yana ci gaba da aiki har sai ya sake haɗawa.

Sakamakon na biyu yana ba mutane mamaki a lokacin hatsari. Soke takardar shaida ba ya rufe ramin da ke amfani da ita a yanzu. Haɗa soke da kashewar gudanarwa idan zaman ya kamata ya ƙare nan take, kuma ɗauki ayyukan biyu a matsayin matakai daban a cikin littafin jagora.

Duba jerin don ganin abin da uwar garke za ta aiwatar da gaske, maimakon dogaro da tambarin lokacin fayil na ƙarshe da ka kwafa. Lambar jerin ita ce sashen da ke da muhimmanci.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | sed -n '1,14p'
ls -l /etc/openvpn/server/crl.pem

Jeri marar shigarwa da jeri mai ingantattun shigarwa suna kama da juna a lissafin babban fayil, shi ya sa ya dace a buga lambar jerin. Layin izini ma yana da muhimmanci haka, domin fayil ɗin da daemon ba zai iya karantawa yana haifar da gazawa da take kama da abokin ciniki da aka ƙi.

Mayar da rikodi, a hankali

Mayar da takardar shaida yana nufin juya rikodi a cikin bayanan bayarwa da kuma wallafa sabon jeri. easy-rsa 3 yana riƙe da wannan bayanan a matsayin index.txt a ƙarƙashin babban fayil ɗin PKI, yayin da tsofaffin tsare-tsare suka yi amfani da wani tsari na daban. Layi yana farawa da harafin matsayi da ranar ƙarewa. Layin da aka soke yana saka tambarin lokaci na soke kafin ya ci gaba da lambar jerin, sunan fayil ɗin takardar shaida da sunan bambanta. Mayar da layi wuri ɗaya yana nufin share wannan tambarin lokaci da juya harafin, tare da barin duk sauran abubuwa su kasance.

Fara da yin ajiyar fayil ɗin, kuma rubuta gyaran a matsayin skript maimakon bugawa a editan rubutu. Kuskuren bugawa da ke canza yawan filayen layi yana karya bayarwa ga kowace takardar shaida da aka ƙara bayan haka. Wannan shi ne dalilin da ya sa ya kamata a sarrafa canjin ta na'ura da kwafa fayil ɗin kafin a taɓa shi.

Soke na biyu da sunan ɗaya yakan kasa ma, domin gudun farko ya ƙaura wannan takardar shaida da makullinta daga manyan fayilolin da kayan aiki ke tsammanin samun su. Sannan kayan aiki ba zai iya samun abin da aka ce ya soke ba, kuma saƙon kuskure ba koyaushe yake bayyana dalili a fili ba.

cp /etc/easy-rsa/pki/index.txt /root/index.txt.$(date +%F-%H%M)
grep -c '^R' /etc/easy-rsa/pki/index.txt
easyrsa gen-crl

Wallafa sabon jeri, gyara mallakarsa, kuma sa uwar garke ta karanta shi. Sake loda ya isa a yawancin shigarwa, amma tabbaci dole ya fito daga sabuwar haɗi, tun da zaman da ke akwai bai sake duba kome ba.

Duba wace hanya ce shari'ar ta cancanta

Yi tambaya ɗaya da ke yanke hukunci kan dukan littafin jagora: shin makullin sirri har yanzu yana kawai inda ya kamata ya kasance. Idan haka ne, kashewar zaman tare da dakatarwa da aka rubuta yana rufe shari'ar kuma ba ya barin rikodi na dindindin. Idan ba haka ba, amsar aminci ɗaya tilo ita ce sabon makulli tare da barin tsohuwar takardar shaida a soke.

Sannan tabbatar da sakamakon da ƙoƙarin haɗi maimakon da bambancin tsari. Bambancin yana gaya maka abin da ka yi niyya, kuma haɗin yana gaya maka abin da uwar garke ke aiwatarwa.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | grep -c 'Serial Number'
printf 'status 2\nquit\n' | nc 127.0.0.1 7506

Lokacin da abokin ciniki da aka mayar ya haɗa kuma ya bayyana a fitarwar matsayi, gyaran rikodin ya yi aiki. Lokacin da aka ƙi abokin ciniki da aka soke kuma log ɗin ya ambaci CRL, sokewar ta yi aiki. Duk abin da ke tsakanin su matsala ce ta izini ko sake loda, kuma ya dace a gyara ta kafin buƙata ta gaba ta zo.