Setja einn OpenVPN-biðlara í bið: hvers vegna afturköllun er rangt tæki

Að setja aðgang eins biðlara í bið og að fjarlægja hann fyrir fullt og allt líta út eins og sama verkefnið þar til maður reynir að afturkalla annað hvort. Afturköllun vottorðs skrifar færslu sem þjónninn meðhöndlar sem endanlega, og að snúa henni við þýðir að breyta gagnagrunni útgefandans handvirkt. Að sleppa lifandi göngunum er stjórnskipun sem breytir engu um traust. Veldu tækið með því að spyrja hvort lykillinn sé enn traustur, ekki með því að spyrja hversu áríðandi beiðnin virðist.

Trúin: afturkallað og frestað er það sama

Verktaki er settur í bið í eina viku og viðbragðið er að afturkalla, því afturköllun hljómar eins og að slökkva á einhverju. Það lítur snyrtilega út, tekur tíu sekúndur, og skilur breytingu á gagnagrunni eftir sem eina leiðina til baka. Viðbragðið er skiljanlegt og er nær því að brenna vegabréfi en að loka hurð. Biðsett tæki og íhlaupinn lykill þurfa mismunandi meðferð, og aðeins annað þeirra er ódýrt að afturkalla.

Greinin snýst um skírteinið en ekki manneskjuna. Lykil sem enn er í réttum höndum má setja í bið og halda áfram án nokkurrar taps á trausti. Lykil sem kann að hafa verið afritaður ætti aldrei að endurheimta, því endurheimt fullyrðir að afritið sé ekki til.

Skrifaðu svarið niður áður en þú snertir annað hvort kerfið. Ef þú getur ekki sagt hvort lykillinn sé afhjúpaður, er hið varfæra svar skipti.

Sleppa lifandi lotunni með stjórnviðmótinu

OpenVPN býður stjórnviðmót sem getur skráð lotur og drepið eina þeirra eftir samnefni. Virkjaðu það á localhost, haltu því fjarri opinberu viðmóti, og sendu drápskipunina þegar lota verður að hverfa núna. Skipunin lokar aðeins þeim göngum, og allir aðrir biðlarar halda áfram að virka.

Þetta er svar við virku vandamáli, ekki stefna um bið. Sama sniðið getur tengst aftur innan mínútu, því ekkert í skírteininu breyttist. Notaðu það þegar lotan verður að fara og varanlega ákvörðunin er enn í vinnslu.

Staðfestu að lotan hafi verið tengd áður en þú drepur hana, svo þú eltir ekki biðlara sem tengdist aldrei. Stöðuskipunin hér fyrir neðan prentar það sem er tengt núna.

printf 'status 2\nquit\n' | nc 127.0.0.1 7506
printf 'kill kiosk-14\nquit\n' | nc 127.0.0.1 7506

Ef drápið tilkynnir að enginn slíkur biðlari sé til, þá er samnefnið í vottorðinu ekki strengurinn sem þú slóst inn. Lestu stöðuframleiðsluna í stað nafns sniðskrárinnar.

Hvað CRL stjórnar í raun

Þjónninn flettir ekki upp afturköllunarfána sem geymdur er á vottorðinu. Hann les afturköllunarlistann sem tilgreindur er í crl-verify við hverja nýja tengingu, og hafnar vottorði sem hefur raðnúmer á þeim lista. Tvær afleiðingar fylgja, og báðar skipta máli í rekstri. Skráin verður að vera læsileg fyrir þann reikning sem þjónninn lækkar sér í, og biðlari sem þegar er tengdur heldur áfram þar til hann tengist aftur.

Seinni afleiðingin kemur fólki á óvart í atvikum. Afturköllun vottorðs lokar ekki göngunum sem nota það núna. Paraðu afturköllunina við stjórndráp ef lotunni verður að ljúka strax, og meðhöndlaðu aðgerðirnar tvær sem aðskilin skref í handbókinni.

Skoðaðu listann til að sjá hvað þjónninn mun raunverulega framfylgja, í stað þess að treysta tímaritinu á síðustu skrá sem þú afritaðir. Fjöldi raðnúmera er sá hluti sem skiptir máli.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | sed -n '1,14p'
ls -l /etc/openvpn/server/crl.pem

Listi án færslna og listi með réttu færslunum líta eins út í möppulista, þess vegna er þess virði að prenta fjölda raðnúmera. Heimildalínan skiptir jafn miklu, því skrá sem dæmoninn getur ekki lesið veldur bilun sem lítur út eins og höfnuðum biðlara.

Endurheimt færslu, varlega

Að endurheimta vottorð þýðir að snúa við færslu í útgáfugagnagrunninum og birta nýjan lista. easy-rsa 3 heldur þeim gagnagrunni sem index.txt undir PKI möppunni, en eldri uppsetningar notuðu aðra skipan. Lína byrjar á stöðubókstaf og lokadegi. Afturkölluð lína setur inn tímarit fyrir afturköllunina áður en hún heldur áfram með raðnúmerinu, skráarnafni vottorðsins og greinandi nafninu. Að setja línu aftur þýðir að eyða því tímariti og snúa við bókstafnum, en láta allt annað óhreyft.

Taktu öryggisafrit af skránni fyrst, og skrifaðu breytinguna sem skriftu í stað þess að slá hana inn í textaritli. Prentvilla sem breytir því hversu mörg svið lína ber eyðileggur útgáfuna fyrir hvert vottorð sem bætt er við síðar. Þess vegna á að sjálfvirkja breytinguna og afrita skrána áður en henni er snert.

Önnur afturköllun sama nafns mistekst líka oft, því fyrri keyrslan flutti það vottorð og lykilinn þess út úr möppunum sem tólið reiknar með að finna þau í. Tólið finnur þá ekki það sem það var beðið um að afturkalla, og villuboðin skýra ekki alltaf hvers vegna.

cp /etc/easy-rsa/pki/index.txt /root/index.txt.$(date +%F-%H%M)
grep -c '^R' /etc/easy-rsa/pki/index.txt
easyrsa gen-crl

Birtu nýja listann, lagaðu eignarhald hans, og láttu þjóninn lesa hann. Endurhleðsla nægir í flestum uppsetningum, en staðfestingin verður að koma frá nýrri tengingu, því núverandi lota athugaði ekkert aftur.

Athugaðu hvaða tæki málið á skilið

Spurðu hina einu spurningu sem ræður allri handbókinni: er einkalykillinn enn aðeins þar sem hann á að vera. Ef svo er, þá nær dráp lotunnar ásamt skjalfestri bið yfir málið og skilur enga varanlega færslu eftir. Ef ekki, er eina örugga svarið nýr lykill með gamla vottorðið látið vera afturkallað.

Staðfestu svo útkomuna með tengitilraun frekar en stillingarmun. Munurinn segir þér hvað þú ætlaðir þér, og tengingin segir þér hvað þjónninn framfylgir.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | grep -c 'Serial Number'
printf 'status 2\nquit\n' | nc 127.0.0.1 7506

Þegar endurheimtur biðlari tengist og birtist í stöðuframleiðslunni, þá virkaði breytingin á færslunni. Þegar afturkölluðum biðlara er hafnað og annálin nefnir CRL, þá virkaði afturköllunin. Allt þar á milli er vandamál með heimildir eða endurhleðslu, og það er þess virði að laga það áður en næsta beiðni berst.