प्रमाणपत्र रद्द किए बिना एक OpenVPN क्लाइंट को निलंबित करें

जब लैपटॉप एक हफ्ते के लिए मरम्मत की मेज पर जाता है, तो सामान्य प्रवृत्ति उसका प्रमाणपत्र CA से हटाने की होती है। वह रिकॉर्ड जारीकर्ता का बहीखाता है, अस्थायी प्रवेश स्विच नहीं। OpenVPN में पहले से ही कनेक्शन अस्वीकार करने के लिए प्रति-क्लाइंट तंत्र है, और उसका उपयोग CA का इतिहास अक्षुण्ण रखता है। दोनों नियंत्रण अलग-अलग सवालों के जवाब देते हैं, और उन्हें मिलाने से उपकरण लौटने पर काम बढ़ता है।

दो रिकॉर्ड, दो अलग काम

CA डेटाबेस दर्ज करता है कि जारीकर्ता ने क्या हस्ताक्षरित किया और बाद में क्या रद्द किया। रद्द करने की प्रक्रियाएं और हर वह चीज जो CRL या बहीखाते की अपनी प्रति पढ़ती है, उसी से पूछती है। प्रवेश नियम सर्वर पर रहता है और उन कनेक्शनों पर लागू होता है जो वह सर्वर स्वीकार करता है।

जारी करने का रिकॉर्ड मिटाने से प्रमाणपत्र विश्वसनीय रूप से रद्द नहीं होता, और उस इतिहास को नुकसान पहुंचता है जिस पर बाद का रद्दीकरण या ऑडिट निर्भर करता है। सर्वर पक्ष का नियंत्रण अधिक संकीर्ण और प्रतिवर्ती है। बदलाव की टिप्पणी में अंतर लिखें ताकि अगला व्यक्ति ऐसी रद्दीकरण न खोजे जो कभी हुआ ही न हो।

अक्षम करने का निर्देश सही फाइल में रखें

क्लाइंट-विशिष्ट कॉन्फ़िगरेशन उपयोग करने वाले सामुदायिक सर्वर के लिए, प्रलेखित disable निर्देश एक चयनित क्लाइंट को अस्वीकार करता है। यह सक्रिय client-config-dir के अंतर्गत उस क्लाइंट की फाइल में होना चाहिए, सर्वर के मुख्य कॉन्फ़िगरेशन में नहीं। जांचें कि चल रहा डेमन वास्तव में कौन सी निर्देशिका उपयोग करता है, और फिर उस पहचान की पुष्टि करें जो फाइल चुनती है। गलत सामान्य नाम पर रखी फाइल सही दिखती है और कभी नहीं पढ़ी जाती।

disable

यहां मैपिंग के चुनाव मायने रखते हैं। username-as-common-name जैसे विकल्प बदलते हैं कि लुकअप कौन सी पहचान उपयोग करता है, इसलिए प्रमाणपत्र के विषय पर रखी फाइल लागू होने वाली फाइल न भी हो। स्थापित संस्करण के लिए OpenVPN संदर्भ पढ़ें, हर संदर्भ में निर्देश वैध मान लेने के बजाय।

नए प्रवेश को सक्रिय सत्रों से अलग रखें

अगले हैंडशेक को अस्वीकार करना पहले से बने टनल को समाप्त नहीं करता। अगर उपकरण को अभी डिस्कनेक्ट करना है, तो उस विशिष्ट सत्र के लिए सर्वर का अधिकृत सत्र-प्रबंधन मार्ग भी उपयोग करें। वरना क्लाइंट तब तक काम कर सकता है जब तक वह स्वयं फिर से कनेक्ट न हो, और लैपटॉप का ढक्कन बंद करना या क्लाइंट से बाहर निकलना क्लाइंट पक्ष की कार्रवाई है जो सर्वर के बारे में कुछ नहीं बताती।

दोनों परिणाम सत्यापित करें: सक्रिय सत्र तब रुकता है जब आप चाहते हैं, और नया हैंडशेक अस्वीकार होता है। बंद क्लाइंट विंडो सर्वर की नीति के बारे में कुछ साबित नहीं करती।

अगर परिनियोजन में सक्रिय सत्र समाप्त करने का कोई समर्थित तरीका नहीं है, तो एक गढ़ने के बजाय उस कमी को दर्ज करें। क्लाइंट पर अवरुद्ध पोर्ट सर्वर पक्ष की नीति के समान नहीं है।

ठहराव और समझौता अलग घटनाएं हैं

खोई या चोरी हुई कुंजी रद्दीकरण की घटना है, और स्थानीय प्रवेश ठहराव उसका विकल्प नहीं है। एक ही CA पर भरोसा करने वाले अन्य सर्वर इस सर्वर का क्लाइंट-विशिष्ट नियम साझा नहीं करेंगे। जारीकर्ता की रद्दीकरण और प्रतिस्थापन प्रक्रिया का पालन करें और CA डेटाबेस को प्रामाणिक रिकॉर्ड रखें। इसके विपरीत, अस्थायी ठहराव के लिए प्रलेखित कारण और पुनर्स्थापन चरण चाहिए।

जब प्रवेश बहाल हो, तो प्रतिबंध उस घटक के माध्यम से हटाएं जो उसका स्वामी है और पुष्टि करें कि नया कनेक्शन सफल होता है। disable पंक्ति का पथ भी दर्ज करें, क्योंकि बाद में कॉन्फ़िगरेशन सिंक उसे चुपचाप वापस ला सकता है। ठहराव, उसका स्वामी और तारीख परिनियोजन नोट्स में रखें, ताकि अगला प्रशासक महीनों बाद बिना व्याख्या वाली disable पंक्ति न पाए।