Tangguhkan satu klien OpenVPN tanpa mencabut sertifikatnya

Saat sebuah laptop masuk ke meja perbaikan selama sepekan, naluri biasanya adalah menghapus sertifikatnya dari CA. Catatan itu adalah buku besar penerbit, bukan sakelar akses sementara. OpenVPN sudah punya mekanisme per klien untuk menolak koneksi, dan memakainya menjaga riwayat CA tetap utuh. Kedua kendali menjawab pertanyaan berbeda, dan mencampurnya menimbulkan pekerjaan saat perangkat kembali.

Dua catatan, dua tugas berbeda

Basis data CA mencatat apa yang ditandatangani penerbit dan apa yang kemudian dicabutnya. Basis data itu ditanyai oleh alur pencabutan dan oleh apa pun yang membaca CRL atau salinannya sendiri atas buku besar. Aturan penerimaan hidup di server dan berlaku bagi koneksi yang diterima server itu.

Menghapus catatan penerbitan tidak mencabut sertifikat secara andal, dan merusak riwayat yang menjadi tumpuan pencabutan atau audit berikutnya. Kendali di sisi server lebih sempit dan dapat dibalik. Tulis perbedaannya di catatan perubahan agar orang berikutnya tidak mencari pencabutan yang tidak pernah terjadi.

Tempatkan direktif penonaktifan di berkas yang tepat

Untuk server komunitas yang memakai konfigurasi khusus klien, direktif disable yang terdokumentasi menolak satu klien terpilih. Direktif itu berada di berkas klien tersebut di bawah client-config-dir yang aktif, bukan di konfigurasi utama server. Pastikan direktori yang benar-benar dipakai daemon yang berjalan, lalu pastikan identitas yang memilih berkas itu. Berkas yang dinamai dengan common name keliru tampak benar dan tidak pernah dibaca.

disable

Pilihan pemetaan penting di sini. Opsi seperti username-as-common-name mengubah identitas mana yang dipakai pencarian, jadi berkas yang dinamai menurut subjek sertifikat mungkin bukan berkas yang diterapkan. Baca referensi OpenVPN untuk versi yang terpasang, bukan menganggap direktif berlaku di semua konteks.

Pisahkan penerimaan baru dari sesi aktif

Menolak handshake berikutnya tidak mengakhiri terowongan yang sudah berdiri. Jika perangkat harus diputus sekarang, pakai juga jalur manajemen sesi resmi server untuk sesi tertentu itu. Jika tidak, klien bisa terus bekerja sampai menyambung ulang sendiri, dan menutup penutup laptop atau keluar dari klien adalah tindakan di sisi klien yang tidak memberi tahu apa pun tentang server.

Verifikasi kedua hasil: sesi aktif berhenti saat Anda menghendakinya, dan handshake baru ditolak. Jendela klien yang tertutup tidak membuktikan apa pun tentang kebijakan server.

Jika penerapan tidak punya cara yang didukung untuk mengakhiri sesi aktif, catat kekurangan itu daripada mengarangnya. Port yang diblokir di klien tidak sama dengan kebijakan di sisi server.

Jeda dan kompromi adalah peristiwa berbeda

Kunci yang hilang atau dicuri adalah peristiwa pencabutan, dan jeda akses lokal tidak menggantikannya. Server lain yang memercayai CA yang sama tidak akan berbagi aturan khusus klien milik server ini. Ikuti proses pencabutan dan penggantian penerbit serta pertahankan basis data CA sebagai catatan otoritatif. Jeda sementara, sebaliknya, memerlukan alasan yang terdokumentasi dan langkah pemulihan.

Saat akses dipulihkan, hapus pembatasan lewat komponen yang memilikinya dan pastikan koneksi baru berhasil. Catat juga jalur baris disable, karena sinkronisasi konfigurasi berikutnya bisa diam-diam mengembalikannya. Simpan jeda, pemiliknya, dan tanggalnya di catatan penerapan, agar administrator berikutnya tidak menemukan baris disable tanpa penjelasan berbulan-bulan kemudian.