Կասեցնել մեկ OpenVPN հաճախորդ առանց նրա վկայականը չեղարկելու

Երբ նոթբուքը մեկ շաբաթով գնում է վերանորոգման սեղան, սովորական բնազդը նրա վկայականը CA-ից հեռացնելն է։ Այդ գրառումը թողարկողի մատյանն է, ոչ թե ժամանակավոր մուտքի անջատիչ։ OpenVPN-ն արդեն ունի յուրաքանչյուր հաճախորդի համար միացումը մերժելու մեխանիզմ, և դրա օգտագործումը պահպանում է CA-ի պատմությունը անվթար։ Երկու վերահսկիչները պատասխանում են տարբեր հարցերի, և դրանք խառնելը աշխատանք է ստեղծում, երբ սարքը վերադառնում է։

Երկու մատյան, երկու տարբեր աշխատանք

CA-ի տվյալների բազան գրանցում է, թե ինչ է ստորագրել թողարկողը և ինչ է ավելի ուշ չեղարկել։ Նրան դիմում են չեղարկման ընթացակարգերը և այն ամենը, ինչ կարդում է CRL-ը կամ մատյանի իր պատճենը։ Մուտքի կանոնն ապրում է սերվերում և վերաբերում է այն միացումներին, որոնք այդ սերվերն ընդունում է։

Թողարկման գրառումը ջնջելը վկայականը հուսալիորեն չի չեղարկում և վնասում է այն պատմությունը, որից կախված են հետագա չեղարկումը կամ աուդիտը։ Սերվերի կողմի վերահսկիչն ավելի նեղ է և շրջելի։ Տարբերությունը գրեք փոփոխության նշման մեջ, որպեսզի հաջորդ մարդը չփնտրի չեղարկում, որը երբեք չի եղել։

Անջատման հրահանգը դրեք ճիշտ ֆայլում

Համայնքային սերվերի համար, որն օգտագործում է հաճախորդին հատուկ կոնֆիգուրացիա, փաստաթղթավորված disable հրահանգը մերժում է մեկ ընտրված հաճախորդի։ Այն պատկանում է այդ հաճախորդի ֆայլին՝ ակտիվ client-config-dir-ի ներքո, ոչ թե սերվերի հիմնական կոնֆիգուրացիային։ Հաստատեք այն գրացուցակը, որն իրականում օգտագործում է աշխատող դեմոնը, ապա հաստատեք այն ինքնությունը, որը ընտրում է ֆայլը։ Սխալ ընդհանուր անունով անվանված ֆայլը ճիշտ է թվում և երբեք չի կարդացվում։

disable

Քարտեզագրման ընտրությունները այստեղ նշանակություն ունեն։ username-as-common-name-ի նման ընտրանքները փոխում են, թե որ ինքնությունն է օգտագործում որոնումը, ուստի վկայականի սուբյեկտի անունով ֆայլը կարող է չլինել կիրառվողը։ Կարդացեք տեղադրված տարբերակի OpenVPN ուղեցույցը՝ փոխարենը ենթադրելու, թե հրահանգը վավեր է ամեն համատեքստում։

Առանձնացրեք նոր մուտքը ակտիվ սեսիաներից

Հաջորդ ձեռքսեղմումը մերժելը չի ավարտում արդեն բարձրացված թունելը։ Եթե սարքը պետք է անջատվի հիմա, օգտագործեք նաև սերվերի լիազորված սեսիաների կառավարման ուղին այդ կոնկրետ սեսիայի համար։ Հակառակ դեպքում հաճախորդը կարող է շարունակել աշխատել, մինչև ինքը նորից միանա, իսկ նոթբուքի կափարիչը փակելը կամ հաճախորդից դուրս գալը հաճախորդի կողմի գործողություն է, որը ոչինչ չի ասում սերվերի մասին։

Ստուգեք երկու արդյունքները՝ ակտիվ սեսիան դադարում է, երբ դուք եք ուզում, և նոր ձեռքսեղմումը մերժվում է։ Փակ հաճախորդի պատուհանը ոչինչ չի ապացուցում սերվերի քաղաքականության մասին։

Եթե տեղադրումը չունի ակտիվ սեսիան ավարտելու աջակցվող եղանակ, գրանցեք այդ բացը՝ փոխարենը հորինելու մեկը։ Հաճախորդի վրա արգելափակված պորտը նույնը չէ, ինչ սերվերի կողմի քաղաքականությունը։

Դադարը և կոմպրոմիսը տարբեր իրադարձություններ են

Կորսված կամ գողացված բանալին չեղարկման իրադարձություն է, և տեղական մուտքի դադարը չի փոխարինում դրան։ Նույն CA-ին վստահող այլ սերվերները չեն կիսի այս սերվերի հաճախորդին հատուկ կանոնը։ Հետևեք թողարկողի չեղարկման և փոխարինման գործընթացին և պահեք CA-ի տվյալների բազան որպես հեղինակավոր մատյան։ Ժամանակավոր դադարը, ընդհակառակը, պահանջում է փաստաթղթավորված պատճառ և վերականգնման քայլ։

Երբ մուտքը վերականգնվի, հեռացրեք սահմանափակումը այն բաղադրիչի միջոցով, որին այն պատկանում է, և հաստատեք, որ նոր միացումը հաջողվում է։ Գրանցեք նաև disable տողի ուղին, քանի որ ավելի ուշ կոնֆիգուրացիայի համաժամեցումը կարող է լուռ վերադարձնել այն։ Պահեք դադարը, դրա սեփականատիրոջը և ամսաթիվը տեղադրման նշումներում, որպեսզի հաջորդ ադմինիստրատորը ամիսներ անց չգտնի անբացատրելի disable տող։