Egy OpenVPN-ügyfél felfüggesztése a tanúsítvány visszavonása nélkül

Amikor egy laptop egy hétre a javítóasztalra kerül, a szokásos ösztön az, hogy eltávolítsuk a tanúsítványát a CA-ból. Az a bejegyzés a kibocsátó nyilvántartása, nem ideiglenes belépési kapcsoló. A OpenVPN már rendelkezik ügyfelenkénti mechanizmussal a kapcsolat elutasítására, és ennek használata érintetlenül tartja a CA történetét. A két vezérlő más kérdésekre válaszol, és összekeverésük munkát teremt, amikor az eszköz visszatér.

Két nyilvántartás, két különböző feladat

A CA adatbázisa rögzíti, mit írt alá a kibocsátó, és mit vont vissza később. Őt kérdezik a visszavonási folyamatok és minden, ami a CRL-t vagy a nyilvántartás saját példányát olvassa. A belépési szabály a szerveren él, és azokra a kapcsolatokra vonatkozik, amelyeket az a szerver elfogad.

A kibocsátási bejegyzés törlése nem vonja vissza megbízhatóan a tanúsítványt, és károsítja azt a történetet, amelytől a későbbi visszavonás vagy audit függ. A szerveroldali vezérlés szűkebb és visszafordítható. Írja le a különbséget a változási feljegyzésbe, hogy a következő ember ne keressen olyan visszavonást, amely soha nem történt meg.

Helyezze a letiltási direktívát a megfelelő fájlba

Egy közösségi szerver esetében, amely ügyfélspecifikus konfigurációt használ, a dokumentált disable direktíva egy kiválasztott ügyfelet utasít el. Az adott ügyfél fájljába tartozik az aktív client-config-dir alatt, nem a szerver fő konfigurációjába. Ellenőrizze, melyik könyvtárat használja ténylegesen a futó démon, majd erősítse meg a fájlt kiválasztó identitást. A rossz közös névre elnevezett fájl helyesnek tűnik, és soha nem olvassák be.

disable

A leképezési döntések itt számítanak. Az olyan beállítások, mint a username-as-common-name, megváltoztatják, melyik identitást használja a keresés, így lehet, hogy a tanúsítvány tárgya szerint elnevezett fájl nem az lesz, amelyet alkalmaznak. Olvassa el a telepített verzió OpenVPN-referenciáját ahelyett, hogy feltételezné, a direktíva minden környezetben érvényes.

Válassza külön az új belépést az élő munkamenetektől

A következő kézfogás elutasítása nem zár le egy már felállt alagutat. Ha az eszközt most le kell kapcsolni, használja a szerver engedélyezett munkamenet-kezelési útvonalát is arra a konkrét munkamenetre. Különben az ügyfél tovább dolgozhat, amíg magától újra nem kapcsolódik, a laptop fedelének lecsukása vagy az ügyfélből való kilépés pedig ügyféloldali művelet, amely semmit nem mond a szerverről.

Ellenőrizze mindkét eredményt: az élő munkamenet akkor áll le, amikor akarja, és az új kézfogást elutasítják. Egy bezárt ügyfélablak semmit nem bizonyít a szerver szabályzatáról.

Ha a telepítésnek nincs támogatott módja az élő munkamenet lezárására, jegyezze fel ezt a hiányt, ahelyett hogy kitalálna egyet. Az ügyfélen blokkolt port nem ugyanaz, mint a szerveroldali szabályzat.

A szünet és a kompromittálódás különböző események

Az elveszett vagy ellopott kulcs visszavonási esemény, és egy helyi belépési szünet nem helyettesíti. A többi szerver, amely ugyanabban a CA-ban bízik, nem fogja megosztani ennek a szervernek az ügyfélspecifikus szabályát. Kövesse a kibocsátó visszavonási és cserélési folyamatát, és tartsa a CA adatbázisát mérvadó nyilvántartásként. Az ideiglenes szünet viszont dokumentált indokot és helyreállítási lépést igényel.

Amikor a hozzáférés helyreáll, távolítsa el a korlátozást az azt birtokló komponensen keresztül, és erősítse meg, hogy egy új kapcsolat sikerül. Jegyezze fel a disable sor útvonalát is, mert egy későbbi konfigurációszinkronizálás csendben visszateheti. Tartsa a szünetet, annak tulajdonosát és a dátumot a telepítési feljegyzésekben, hogy a következő rendszergazda hónapokkal később ne találjon megmagyarázatlan disable sort.