Չեղարկված հաճախորդը դեռ միանում է․ ցանկը երբեք չհասավ
Չեղարկումը վկայագրի ստուգման մուտքային տվյալ է, ոչ թե նստաշրջանն ավարտող հրաման։ Համեմատեք, թե ինչպես են նոր կապը և ընթացիկ թունելը տեսնում ցանկը։
Չեղարկումը երբեք չի մտնում ընթացիկ թունել՝ նստաշրջան ջնջելու համար։ Ցանկը վկայագրի ստուգման մուտքային տվյալ է և կարդացվում է TLS նստաշրջան սկսող կառավարման ուղու փոխանակման ընթացքում։ Այս մեկ փաստը բացատրում է երկու զարմանքները․ չեղարկված հաճախորդը կրկին միանում է, որովհետև ցանկը երբեք չհասավ ստուգողին, և գոյություն ունեցող նստաշրջանը շարունակում է ապրել, որովհետև ոչ ոք ոչինչ նորից չստուգեց։
Ցանկը մուտք է, ոչ գործողություն
Նստաշրջան ստեղծելիս սերվերը վավերացնում է հաճախորդի վկայագիրը իր վստահության խարիսխների դեմ, և չեղարկման հրահանգն այդ որոշմանը ավելացնում է ցանկի որոնում։ Ստուգումը կատարվում է սերվերում, ուստի հաճախորդը չի կարող տեսնել, որ իր վկայագիրը չեղարկված է, և շարունակում է առաջարկել նույնը։ Այսպիսով, դեռ միացող պրոֆիլը միայն ապացուցում է, որ ինչ-որ ստուգող ընդունել է շղթան, ոչ թե որ չեղարկումը ձախողվել է։
Ցանկն ինքնին ստորագրված օբյեկտ է՝ թողարկման ամսաթվով և հաջորդ թարմացման ամսաթվով։ Անկապ ցանկը, այլ մարմնի կողմից ստորագրված ցանկը կամ այն ցանկը, որի հաջորդ թարմացումն անցել է, չի փոխարինում ընթացիկին, և հնացած ցանկը մերժվում է, թե լուռ ընդունվում, կախված է տեղակայումից։
Նոր կապն ընդդեմ ընթացիկ նստաշրջանի
Չեղարկումը գնահատվում է նստաշրջան հաստատելիս կամ վերաբանակցելիս, ոչ թե տվյալների ուղու դեմ յուրաքանչյուր փաթեթում։ Արդեն միացած հաճախորդն ունի երթևեկության բանալիներ, ուստի շարունակում է փաթեթներ անցկացնել այն բանից հետո, երբ իր վկայագիրը հայտնվում է ցանկում։ Կանխադրված վերաբանակցման միջակայքը չափվում է ժամերով, դրա համար էլ թարմացված ցանկը կարող է ուժի մեջ մտնել նորեկների համար, մինչ ընթացիկ թունելը մնում է։
| Situation | What the list does | When it applies |
|---|---|---|
| Fresh connection | Blocks the handshake | At verification, immediately |
| Renegotiation | Blocks the new exchange | At the next renegotiation interval |
| Established data channel | Nothing | Until the session ends |
Ակնթարթային կիրառումը պահանջում է դիտավորյալ գործողություն, ոչ միայն ցանկը։ Ծառայության վերագործարկումը ստիպում է յուրաքանչյուր հաճախորդի նորից միանալ, մինչ կառավարման ինտերֆեյսով մեկ նստաշրջան դադարեցնելը թողնում է մյուսներին անխախտ։ Ընտրեք մեկը յուրաքանչյուր դեպքի համար և գրեք, թե որն օգտագործեցիք։ Երկու տարբերակներն ունեն տարբեր ազդեցության շառավիղ, և դա է իրական որոշումը։
Առաքեք այն ֆայլը, որը ստուգողն իրոք կարդում է
Ցանկը պետք է ստեղծվի մարմնի գրառումից, ապա պատճենվի վկայագրերը ստուգող յուրաքանչյուր մեքենա։ Այն CA հոսթում ստեղծելը և երբեք սերվերում չտեղադրելը ամենահաճախ հանդիպող խափանումն է, և այն ուղղակի կոտրված չեղարկման հատկանիշի տեսք ունի։
ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pemԵրկու մանրամասն որոշում է, թե արդյոք ֆայլն իրոք կարդացվում է։ Հարաբերական ուղին լուծվում է կոնֆիգուրացիայի պանակի նկատմամբ, ուստի օպերատորի տան պանակում մնացած պատճենը կարող է երբեք չգտնվել։ Եվ դեմոնը սովորաբար մեկնարկից հետո հրաժարվում է արտոնություններից, ուստի գործարկման հաշվին անհրաժեշտ է որոնման թույլտվություն յուրաքանչյուր ծնող պանակում և կարդալու թույլտվություն ֆայլի վրա։ Ստուգեք երկուսն էլ գործարկման հաշվով, ոչ թե root-ով, այլապես թեստը կապացուցի սխալ բան։
systemd հոսթերում կարծրացված միավորը նույնպես կարող է թաքցնել ուղին՝ միայն կարդալու դիտումով կամ պաշտպանված համակարգային պանակով։ Ծառայության ներսից դա չի տարբերվում բացակայող ֆայլից, ուստի թույլտվության սխալ փնտրելուց առաջ ստուգեք միավորի սահմանափակումները։ Կարդացեք միավորի ֆայլը նախքան ֆայլի ռեժիմին մեղադրելը։
Հաստատեք սերվերում, ոչ թե հաճախորդում
Սերվերի մատյանը նշում է, թե ինչ պատահեց՝ ցանկը բացելը, այն բեռնելը կամ ստուգման ձախողումը չեղարկված հերթական համարով։ Հաճախորդը հաղորդում է միայն ձեռքսեղմման ընդհանուր ձախողում, դրա համար էլ հաճախորդի մատյանները վատ տեղ են չեղարկման որոշում փնտրելու համար։
Ստուգեք չեղարկված պրոֆիլից նոր փորձով, ապա կանգ առեք։ Այդ պրոֆիլից հաջող կապը ազդանշան է ստուգելու ֆայլի ուղին և գործարկման հաշիվը, ոչ թե ենթադրելու, որ ցանկը սխալ էր։ Պահեք այդ հաջող փորձը որպես ընդունման թեստ և չհաշվեք մի վերամիացում, որը չեք դիտել։
Ինչ ոչինչ չի չեղարկում
Պրոֆիլը նոթբուքից ջնջելը, վկայագրի ֆայլը հաճախորդից հեռացնելը կամ օգտվողին միանալը դադարեցնել ասելը ոչինչ չի փոխում սերվերում։ Վկայագիրը մնում է վավեր, քանի դեռ մարմինը չի գրանցել չեղարկումը, և ստուգողը չի կարդացել ստացված ցանկը։
Այդ պատճառով արժե գրի առնել շղթան․ գրանցեք չեղարկումը, ստեղծեք և ստորագրեք ցանկը, տարածեք հենց այդ ֆայլը և հաստատեք, որ ծառայության հաշիվը կարող է կարդալ այն։ Յուրաքանչյուր օղակ կարճ է, և ցանկացած բացակայող օղակ թողնում է չեղարկված հաճախորդին ուրախ միանալիս։ Չորս տողանոց ստուգաթերթը գերազանցում է ոչ մի տող չունեցող ենթադրությանը։