Pauzirajte jednog OpenVPN klijenta bez opoziva njegova certifikata

Kad prijenosno računalo na tjedan dana ode na radni stol za popravke, uobičajeni je nagon ukloniti njegov certifikat iz CA. Taj je zapis knjiga izdavatelja, a ne privremena sklopka za pristup. OpenVPN već ima mehanizam po klijentu za odbijanje veze, a njegovom uporabom povijest CA ostaje netaknuta. Dvije kontrole odgovaraju na različita pitanja, a njihovo miješanje stvara posao kad se uređaj vrati.

Dva zapisa, dva različita posla

Baza podataka CA bilježi što je izdavatelj potpisao i što je poslije opozvao. Njoj se obraćaju postupci opoziva i sve što čita CRL ili vlastitu kopiju evidencije. Pravilo pristupa živi na poslužitelju i primjenjuje se na veze koje taj poslužitelj prihvaća.

Brisanje zapisa o izdavanju ne opoziva certifikat pouzdano i oštećuje povijest o kojoj ovise kasniji opoziv ili revizija. Kontrola na strani poslužitelja uža je i povratna. Zapišite razliku u bilješku o promjeni da sljedeća osoba ne traži opoziv koji se nikada nije dogodio.

Stavite direktivu za onemogućavanje u pravu datoteku

Za zajednički poslužitelj koji rabi konfiguraciju za pojedinog klijenta, dokumentirana direktiva disable odbija jednog odabranog klijenta. Pripada datoteci tog klijenta unutar aktivnog client-config-dir, a ne glavnoj konfiguraciji poslužitelja. Provjerite direktorij koji pokrenuti daemon stvarno rabi, zatim potvrdite identitet koji odabire datoteku. Datoteka nazvana po pogrešnom uobičajenom imenu izgleda ispravno i nikada se ne čita.

disable

Odabiri preslikavanja ovdje su važni. Opcije poput username-as-common-name mijenjaju koji identitet rabi pretraga, pa datoteka nazvana po subjektu certifikata možda nije ona koja se primjenjuje. Pročitajte referencu za OpenVPN za instaliranu verziju umjesto da pretpostavite da je direktiva valjana u svakom kontekstu.

Odvojite novi pristup od aktivnih sesija

Odbijanje sljedećeg rukovanja ne prekida tunel koji je već uspostavljen. Ako uređaj treba odmah odspojiti, upotrijebite i ovlašteni put upravljanja sesijama na poslužitelju za tu konkretnu sesiju. Inače klijent može nastaviti raditi dok se sam ponovno ne poveže, a zatvaranje poklopca prijenosnog računala ili izlazak iz klijenta radnja je na strani klijenta koja vam ne govori ništa o poslužitelju.

Provjerite oba ishoda: aktivna sesija prestaje kad to želite i novo se rukovanje odbija. Zatvoren prozor klijenta ne dokazuje ništa o politici poslužitelja.

Ako postava nema podržan način za završetak aktivne sesije, zabilježite taj nedostatak umjesto da izmišljate jedan. Blokiran priključak na klijentu nije isto što i politika na strani poslužitelja.

Pauza i kompromitacija različiti su događaji

Izgubljen ili ukraden ključ događaj je opoziva i lokalna pauza pristupa ne zamjenjuje ga. Drugi poslužitelji koji vjeruju istom CA neće dijeliti ovo pravilo za pojedinog klijenta. Slijedite izdavateljev postupak opoziva i zamjene i držite bazu podataka CA kao mjerodavan zapis. Privremena pauza, nasuprot tome, traži dokumentiran razlog i korak obnove.

Kad se pristup vrati, uklonite ograničenje preko komponente koja ga posjeduje i potvrdite da nova veza uspijeva. Zapišite i put do retka disable jer kasnija sinkronizacija konfiguracije može ga tiho vratiti. Držite pauzu, njezina vlasnika i datum u bilješkama o postavi, da sljedeći administrator ne nađe neobjašnjen redak disable mjesecima kasnije.