Visszavont ügyfél továbbra is csatlakozik: a lista soha nem érkezett meg

A visszavonás soha nem hatol be egy futó alagútba, hogy töröljön egy munkamenetet. A lista a tanúsítvány-ellenőrzés bemenete, és a TLS-munkamenetet indító vezérlőcsatorna-csere során olvassák. Ez az egyetlen tény magyarázza mindkét meglepetést: egy visszavont ügyfél újra csatlakozik, mert a lista soha nem jutott el az ellenőrhöz, és egy meglévő munkamenet életben marad, mert senki nem ellenőrzött újra semmit.

A lista bemenet, nem művelet

A munkamenet létrehozásakor a kiszolgáló a bizalmi horgonyaihoz méri az ügyfél tanúsítványát, és a visszavonási utasítás listakeresést ad ehhez a döntéshez. Az ellenőrzés a kiszolgálón történik, ezért az ügyfél nem láthatja, hogy a tanúsítványát visszavonták, és továbbra is ugyanazt kínálja. Ezért egy még csatlakozó profil csak azt bizonyítja, hogy valamelyik ellenőr elfogadta a láncot, nem azt, hogy a visszavonás elbukott.

Maga a lista aláírt objektum kiállítási dátummal és következő frissítési dátummal. Egy nem kapcsolódó lista, egy másik hatóság által aláírt lista vagy egy olyan, amelynek a következő frissítése elmúlt, nem helyettesíti az aktuálist, és hogy egy elavult listát elutasítanak vagy csendben elfogadnak, a telepítéstől függ.

Új kapcsolat szemben a futó munkamenettel

A visszavonást a munkamenet létrehozásakor vagy újratárgyalásakor értékelik, nem minden csomagnál az adatcsatornával szemben. Egy már csatlakozott ügyfél forgalmi kulcsokkal rendelkezik, ezért tovább engedi a csomagokat, miután a tanúsítványa megjelenik a listán. Az alapértelmezett újratárgyalási időközt órákban mérik, ezért egy frissített lista érvénybe léphet az újonnan érkezőknél, miközben egy futó alagút fennmarad.

Az azonnali kényszerítés szándékos műveletet igényel, nem csupán a listát. A szolgáltatás újraindítása minden ügyfelet újracsatlakozásra kényszerít, míg egyetlen munkamenet lezárása a kezelőfelületen keresztül a többit érintetlenül hagyja. Incidensenként válasszon egyet, és jegyezze fel, melyiket használta. A két lehetőség hatóköre eltérő, és ez az igazi döntés.

Azt a fájlt szállítsa, amelyet az ellenőr valóban olvas

A listát a hatóság nyilvántartásából kell előállítani, majd minden tanúsítványokat ellenőrző gépre átmásolni. A CA-gazdagépen előállítani és soha nem telepíteni a kiszolgálóra a leggyakoribb hiba, és pontosan úgy néz ki, mint egy elromlott visszavonási funkció.

ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pem

Két részlet dönti el, hogy a fájlt valóban olvassák-e. Egy relatív útvonal a konfigurációs könyvtárhoz képest oldódik fel, ezért egy operátor otthoni könyvtárában hagyott másolat soha nem található meg. A démon pedig általában indulás után feladja a jogosultságait, ezért a futásidejű fióknak minden szülőkönyvtáron keresési, a fájlon pedig olvasási jogosultságra van szüksége. Mindkettőt a futásidejű fiókkal ellenőrizze, ne roottal, különben a teszt a rossz dolgot bizonyítja.

systemd-gazdagépeken egy megerősített unit is elrejtheti az útvonalat, csak olvasható nézettel vagy védett rendszerkönyvtárral. A szolgáltatás belsejéből ez nem különböztethető meg egy hiányzó fájltól, ezért ellenőrizze az unit korlátait, mielőtt jogosultsági hibát keresne. Olvassa el az unit fájlját, mielőtt a fájl módját okolná.

A kiszolgálón erősítse meg, ne az ügyfélen

A kiszolgálónapló megnevezi, mi történt: a lista megnyitása, betöltése vagy az ellenőrzés sikertelensége a visszavont sorozatszámmal. Az ügyfél csak egy általános kézfogási hibát jelent, ezért az ügyfélnaplók rossz hely a visszavonási döntés keresésére.

Ellenőrizze egy friss kísérlettel a visszavont profilból, majd álljon meg. Egy sikeres kapcsolat abból a profilból az a jel, hogy vizsgálja meg a fájl útvonalát és a futásidejű fiókot, nem pedig azt feltételezze, hogy a lista rossz volt. Tartsa meg azt a sikeres kísérletet átvételi tesztként, és ne számoljon olyan újracsatlakozást, amelyet nem figyelt meg.

Mi nem von vissza semmit

A profil törlése egy laptopról, a tanúsítványfájl eltávolítása az ügyfélről vagy annak megmondása a felhasználónak, hogy hagyja abba a csatlakozást, semmit nem változtat a kiszolgálón. A tanúsítvány érvényes marad, amíg a hatóság rögzíti a visszavonást, és az ellenőr elolvassa a keletkező listát.

Ezért érdemes felírni a láncot: rögzítse a visszavonást, állítsa elő és írja alá a listát, terjessze pontosan azt a fájlt, és erősítse meg, hogy a szolgáltatásfiók olvasni tudja. Minden láncszem rövid, és bármelyik hiányzó láncszem egy visszavont ügyfelet vidáman csatlakozva hagy. Egy négy soros ellenőrzőlista többet ér, mint egyetlen sor nélküli feltevés.