Afturkallaður biðlari tengist enn: listinn kom aldrei

Afturköllun fer aldrei inn í gangandi göng til að eyða lotu. Listinn er inntak í vottorðssannprófun og er skoðaður í skiptum stjórnrásarinnar sem hefur TLS-lotu. Þessi eina staðreynd útskýrir báðar undranirnar: afturkallaður biðlari tengist aftur vegna þess að listinn náði aldrei til sannprófandans, og fyrirliggjandi lota lifir af vegna þess að enginn sannprófaði neitt aftur.

Listi er inntak, ekki aðgerð

Þegar lota er sett upp sannprófar þjóninn biðlaravottorðið gegn traustsakkerum sínum, og afturköllunarfyrirmælin bæta listaleit við þá ákvörðun. Athugunin fer fram á þjóninum, svo biðlarinn getur ekki séð að vottorð hans sé afturkallað og heldur áfram að bjóða sama vottorðinu. Snið sem enn tengist sannar því aðeins að einhver sannprófandi hafi samþykkt keðjuna, ekki að afturköllunin hafi mistekist.

Listinn er sjálfur undirritaður hlutur með útgáfudag og dag næstu uppfærslu. Ótengdur listi, listi undirritaður af annarri stofnun eða listi sem dagur næstu uppfærslu er liðinn kemur ekki í stað núverandi lista, og hvort úreltur listi er hafnað eða samþykktur í hljóði fer eftir uppsetningunni.

Ný tenging á móti gangandi lotu

Afturköllun er metin þegar lota er stofnuð eða endursaminn, ekki gegn gagnarásinni á hverjum pakka. Biðlari sem þegar er tengdur heldur umferðarlyklum, svo hann heldur áfram að hleypa pökkum í gegn eftir að vottorð hans birtist á listanum. Sjálfgefið endursamningsbil er mælt í klukkustundum, og þess vegna getur uppfærður listi tekið gildi fyrir nýja á meðan gangandi göng standa.

Tafarlaus framfylgd krefst yfirlagðrar aðgerðar, ekki aðeins listans. Endurræsing þjónustunnar þvingar hvern biðlara til að tengjast aftur, en stöðvun einnar lotu í gegnum stjórnviðmótið lætur hinar ósnortnar. Veljið eina fyrir hvert atvik og skráið hvora þið notuðuð. Valkostirnir tveir hafa mismunandi áhrifasvæði og það er raunverulega ákvörðunin.

Afhendið skrána sem sannprófandinn les í raun

Listinn verður að vera búinn til úr skrá stofnunarinnar og síðan afritaður á hverja vél sem sannprófar vottorð. Að búa hann til á CA-hýsilnum og aldrei setja hann upp á þjóninum er algengasta bilunin, og hann lítur nákvæmlega út eins og biluð afturköllunaraðgerð.

ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pem

Tveir þættir ráða því hvort skráin er í raun lesin. Afstætt slóð er leyst gegn stillingamöppunni, svo afrit sem skilið er eftir í heimamöppu rekstraraðila finnst kannski aldrei. Og dæmoninn sleppir venjulega réttindum eftir ræsingu, svo keyrslureikningurinn þarf leitarheimild á hverri yfirmöppu og lesheimild á skránni. Athugið hvort tveggja með keyrslureikningnum en ekki með root, annars sannar prófið rangt.

Á systemd-hýslum getur hert eining líka falið slóðina, með lesvist eða varinni kerfismöppu. Innan frá þjónustunni er það ógreinanlegt frá skrá sem vantar, svo athugið takmarkanir einingarinnar áður en þið farið að leita að heimildarvillu. Lesið einingarskrána áður en þið kennduð skrárhamnum um.

Staðfestið á þjóninum, ekki á biðlinum

Þjónnlogginn nefnir hvað gerðist: að opna listann, hlaða honum eða misheppnaða sannprófun með afturkallaðri raðtölu. Biðlarinn tilkynnir aðeins almenna handabandsmistök, og þess vegna eru biðlaraloggar slæmur staður til að leita að afturköllunarákvörðun.

Sannprófið með nýrri tilraun frá afturkallaða sniðinu og stöðvið þá. Árangursrík tenging frá því sniði er merkið um að skoða skráarslóðina og keyrslureikninginn, ekki að gera ráð fyrir að listinn hafi verið rangur. Haldið þeirri árangursríku tilraun sem samþykktarprófi, og teljið ekki endurtengingu sem þið sáuð ekki.

Hvað afturkallar ekkert

Að eyða sniðinu af fartölvu, fjarlægja vottorðsskrána af biðlinum eða segja notandanum að hætta að tengjast breytir engu á þjóninum. Vottorðið helst gilt þar til stofnunin skráir afturköllunina og sannprófandinn les listann sem verður til.

Þess vegna er keðjan þess virði að skrifa hana niður: skráið afturköllunina, búið til og undirritið listann, dreifið nákvæmlega þeirri skrá og staðfestið að þjónustureikningurinn geti lesið hana. Hver hlekkur er stuttur, og hver sem vantar lætur afturkallaðan biðlara tengjast kátur. Fjögurra lína gátlisti vinnur á forsendu án nokkurra lína.