Sparkja einum OpenVPN-biðlara út: kill, deny eða afturkalla vottorð?

Þú ert með common name og vistfang í minnispunktunum þínum, og þrjár skipanir sem allar virðast fjarlægja biðlara. Aðeins ein gerir það sem þú vilt, og valið fer eftir því hvort þú þarft að enda lotuna sem er í gangi núna, hafna næstu innskráningu eða taka réttinn til að tengjast alveg af. Lestu auðkennið sem þú hefur í raun áður en þú snertir nokkuð, því OpenVPN-laugin gefur sama gönguvistfangið til annarrar lotu síðar.

Hvaða auðkenni þú hefur í raun

Stöðuskrá í útgáfu 3 er venjulegi upphafspunkturinn. CLIENT_LIST-hlutinn ber common name, raunverulega vistfangið, bætateljara og tengitíma; ROUTING TABLE-hlutinn varpar sýndarvistfangi yfir á common name með tímatöppu síðustu tilvísunar. Common name er stöðuga auðkennið. Sýndarvistfangið er úthlutun, og raunverulega vistfangið bak við NAT getur breyst milli lota án þess að nokkuð á netþjóninum breytist.

Stjórnviðmótið sýnir svipaða sýn í gegnum skipunina status og bætir við biðlara-ID fyrir hverja lotu. Það ID er það sem client-kill býst við, og það er ekki gönguvistfangið. Ef þú þarft að vita hvaða common name fékk hvaða vistfang við tengingu, hefur umhverfi client-connect-skripts bæði, ásamt traustu ytra vistfanginu, en sú skript keyrir sem OpenVPN-notandi og þarf skrifanlega loggslóð.

Drepa núna, hafna við innskráningu, afturkalla fyrir fullt og allt

Báðar fjarlægingarskipanirnar í stjórnviðmótinu eru lotuaðgerðir. kill tekur common name eða raunverulegt vistfang og gátt; client-kill tekur biðlara-ID og endar það tilvik strax. Hvorug er blokk: sparkaður biðlari með gilt vottorð og lykilorð tengist aftur á nokkrum sekúndum, sem er fínt þegar þú endurnýtir prófunarpeer og gagnslaust þegar fartölvu er stolið.

client-deny er önnur tegund ákvörðunar. Það er venjulega gefið út úr auðkenningar- eða client-connect-kroki og hafnar lotunni með ástæðu, svo það hentar stefnu sem hafnar innskráningu frekar en þeirri sem rýfur tengingu. Skjölin vara líka við því að höfnun sem gefin er út í TLS-endursamningum ógildi endursamningaða lykilinn meðan núverandi lota getur gengið þar til umskiptaglugginn lokast. Ef krafan er að biðlarinn sé farinn núna, er skjalfesta svarið client-kill.

Varanleg fjarlæging liggur undir öllu þessu. Afturkallaðu vottorðið og vertu viss um að crl-verify bendi á lista sem netþjóninn hleður í raun aftur, slökktu á biðlarasértæku stillingarskránni í ccd-möppunni eða slökktu á reikningnum í því bakenda sem auðkenningarkrókurinn spyr. Afturköllun er heldur ekki samstundis: með sjálfgefnum reneg-sec stillingum getur lota sem er komin á haldið áfram þar til hún endursamningar, svo lotuaðgerðin og skírteinisaðgerðin eru viðbót, ekki valkostir.

Er stjórnsokkurinn laus?

Stjórnviðmótið þjónar einum biðlara í einu. Ef GUI eða vöktunardæmon heldur þegar tengingunni getur skriptið þitt ekki tengst við hliðina á því, og eftir biðlaranum geturðu ýtt út því sem fyrir er í stað þess að mistakast hreint. Lykilorðið fer í skýru texti á þeim sokki, svo það á heima á staðbundnu vistfangi eða unix-sokki, aldrei á opinberu viðmóti.

Þegar þú getur ekki tekið sokkinn hefurðu samt valkosti, og þeir eru allir hægari. Slepptu lotu GUI fyrst ef þú stjórnar henni, eða samþykktu leiðina í gegnum skírteinislagið og biddu eftir næstu endursamningu. Það sem þú ættir ekki að gera er að endurræsa þjónustuna til að losna við einn biðlara, því það endar líka allar aðrar lotur og eyðir sönnunum stöðuskrárinnar fyrir þessa lotu.

Röðin sem ég keyri á lifandi netþjóni

Tengdu, lestu núverandi stöðu, breyttu út frá ID-inu sem þú varst að lesa og lestu það svo aftur. Gildi sem eru afrituð úr skjali eru algengasta leiðin til að drepa rangt fólk.

status                     # note the client ID and common name
client-kill 3              # end that session now
kill Test-Client           # alternative: by common name
status                     # confirm the session is gone

Nafnið og talan hér að ofan eru staðgenglar, og ID eru endurnýtt eftir að aðrir biðlarar aftengjast. Staðfestu að röðin vanti áður en þú skrifar nokkuð sem búið, og athugaðu að fjöldi tengdra biðlara færðist um einn frekar en nokkra.

Staðfestu að hann hafi haldið sig fjarri

Skráðu common name, gönguvistfangið, ytra vistfangið og mínútuna sem fjarlægingin átti sér stað. Ef sama common name birtist aftur mínútu síðar virkaði lotuaðgerðin en skírteinislagið ekki, sem er allt önnur lagfæring en skipun sem tók aldrei gildi.

Prófaðu svo frá biðlarahliðinni. Afturkallað vottorð ætti að mistakast í næstu handabandi; ef það tengist enn er CRL ekki lesinn yfirhöfuð, og það er niðurstaðan sem er þess virði að tilkynna. Veldu aðgerðina eftir því sem þú þarft að enda, staðfestu með öðru status og lagaðu skírteinislagið þegar svarið þarf að endast lengur en lotan.