השעיית לקוח OpenVPN אחד בלי לבטל את תעודתו

כשמחשב נייד יוצא לשבוע לשולחן התיקונים, האינסטינקט הרגיל הוא להסיר את התעודה שלו מה-CA. הרשומה הזו היא הספר של המנפיק, לא מתג כניסה זמני. ל-OpenVPN כבר יש מנגנון לכל לקוח לסירוב חיבור, והשימוש בו שומר על היסטוריית ה-CA שלמה. שני הבקרים עונים על שאלות שונות, וערבוב ביניהם יוצר עבודה כשהמכשיר חוזר.

שני מרשמים, שתי עבודות שונות

מסד הנתונים של ה-CA מתעד מה חתם המנפיק ומה ביטל לאחר מכן. אליו פונים תהליכי הביטול וכל מה שקורא את ה-CRL או את העותק שלו של המרשם. כלל כניסה חי על השרת וחל על החיבורים שהשרת הזה מקבל.

מחיקת רשומת הנפקה אינה מבטלת תעודה באופן אמין, והיא פוגעת בהיסטוריה שעליה נשענים ביטול או ביקורת מאוחרים. הבקר בצד השרת צר יותר והפיך. כתבו את ההבדל בהערת השינוי כדי שהאדם הבא לא יחפש ביטול שמעולם לא קרה.

שימו את הנחיית הכיבוי בקובץ הנכון

עבור שרת קהילתי שמשתמש בתצורה ייעודית לכל לקוח, ההנחיה המתועדת disable מסרבת ללקוח נבחר אחד. היא שייכת לקובץ של אותו לקוח תחת client-config-dir הפעיל, ולא לתצורה הראשית של השרת. אמתו את הספרייה שבה משתמש בפועל הדמון שרץ, ואז אמתו את הזהות שבוחרת את הקובץ. קובץ שנקרא על שם השם המשותף הלא נכון נראה תקין ולא נקרא לעולם.

disable

לבחירות המיפוי יש משמעות כאן. אפשרויות כמו username-as-common-name משנות איזו זהות החיפוש משתמש, ולכן קובץ שנקרא על שם נושא התעודה עשוי שלא להיות זה שמוחל. קראו את מדריך OpenVPN של הגרסה המותקנת במקום להניח שהנחיה תקפה בכל הקשר.

הפרידו בין כניסה חדשה להפעלות פעילות

סירוב ללחיצת היד הבאה אינו מסיים מנהרה שכבר עומדת. אם המכשיר חייב להתנתק עכשיו, השתמשו גם בנתיב ניהול ההפעלות המורשה של השרת עבור אותה הפעלה מסוימת. אחרת הלקוח יכול להמשיך לעבוד עד שהוא יתחבר מחדש בעצמו, וסגירת מכסה המחשב או יציאה מהלקוח היא פעולה בצד הלקוח שאינה אומרת דבר על השרת.

אמתו את שתי התוצאות: ההפעלה הפעילה נעצרת כשאתם רוצים, ולחיצת יד חדשה נדחית. חלון לקוח סגור אינו מוכיח דבר על מדיניות השרת.

אם לפריסה אין דרך נתמכת לסיים הפעלה פעילה, תעדו את הפער הזה במקום לאלתר אחת. פורט חסום בלקוח אינו אותו דבר כמו מדיניות בצד השרת.

השהיה ופגיעה הן אירועים שונים

מפתח שאבד או נגנב הוא אירוע ביטול, והשהיית כניסה מקומית אינה מחליפה אותו. שרתים אחרים שסומכים על אותו CA לא יחלקו את הכלל הייעודי הזה של השרת. פעלו לפי תהליך הביטול וההחלפה של המנפיק והשאירו את מסד הנתונים של ה-CA כרשומה הסמכותית. השהיה זמנית, לעומת זאת, דורשת סיבה מתועדת וצעד שחזור.

כשהגישה משוחזרת, הסירו את ההגבלה דרך הרכיב שבבעלותו ואמתו שחיבור חדש מצליח. תעדו גם את הנתיב של שורת disable, כי סנכרון תצורה מאוחר יותר עלול להחזיר אותה בשקט. שמרו את ההשהיה, הבעלים שלה והתאריך בהערות הפריסה, כדי שהמנהל הבא לא ימצא חודשים אחר כך שורת disable בלתי מוסברת.