Fresta einum OpenVPN-biðlara án þess að afturkalla skírteinið hans

Þegar fartölva fer í viku á viðgerðarbekk er venjuleg eðlishvöt að fjarlægja skírteinið hennar úr CA. Það færsla er skrá útgefandans, ekki tímabundin aðgangsrofi. OpenVPN hefur þegar fyrirkomulag fyrir hvern biðlara til að hafna tengingu, og notkun þess heldur sögu CA ósnortinni. Þessar tvær stýringar svara ólíkum spurningum, og að blanda þeim saman skapar vinnu þegar tækið kemur til baka.

Tvær færslur, tvö ólík verk

Gagnagrunnur CA skráir hvað útgefandinn undirritaði og hvað hann afturkallaði síðar. Hann er spurður af afturköllunarferlum og af öllu sem les CRL eða eigin eintak af skránni. Aðgangsregla býr á þjóninum og gildir um tengingarnar sem sá þjónn tekur við.

Að eyða útgáfufærslu afturkallar ekki skírteini á áreiðanlegan hátt og skaðar söguna sem síðari afturköllun eða endurskoðun byggir á. Stýringin á þjónshlið er þrengri og afturkræf. Skrifaðu muninn í breytingaskýringuna svo næsta manneskja leiti ekki að afturköllun sem aldrei átti sér stað.

Settu óvirkjunarfyrirmælin í rétta skrá

Fyrir samfélagsþjón sem notar stillingar fyrir hvern biðlara hafnar skjalfesta disable-tilskipunin einum völdum biðlara. Hún á heima í skrá þess biðlara undir virka client-config-dir, ekki í aðalstillingu þjónsins. Staðfestu möppuna sem keyrandi dæmoninn notar í raun, og staðfestu síðan auðkennið sem velur skrána. Skrá nefnd eftir röngu almenna nafninu lítur rétt út og er aldrei lesin.

disable

Valkostir varðandi vörpun skipta máli hér. Valkostir eins og username-as-common-name breyta því hvaða auðkenni uppflettingin notar, svo skrá nefnd eftir viðfangi skírteinisins gæti ekki verið sú sem beitt er. Lestu OpenVPN-handbókina fyrir uppsettu útgáfuna í stað þess að gera ráð fyrir að tilskipun gildi í öllu samhengi.

Aðskildu nýja aðganginn frá virkum lotum

Að hafna næsta handabandi endar ekki göng sem þegar eru uppi. Ef tækið verður að aftengjast núna skaltu líka nota leyfða lotustýringarleið þjónsins fyrir þá tilteknu lotu. Annars getur biðlarinn haldið áfram að vinna þar til hann tengist sjálfur aftur, og að loka loki fartölvunnar eða hætta í biðlaranum er aðgerð á biðlarahlið sem segir ekkert um þjóninn.

Staðfestu bæði skilyrðin: virka lotan stöðvast þegar þú vilt, og nýju handabandi er hafnað. Lokaður biðlaragluggi sannar ekkert um stefnu þjónsins.

Ef uppsetningin hefur enga studda leið til að enda virka lotu skaltu skrá það gap í stað þess að búa hana til. Lokað port á biðlaranum er ekki það sama og stefna á þjónshlið.

Hlé og árás eru ólíkir atburðir

Týndur eða stolinn lykill er afturköllunaratburður, og staðbundið aðgangshlé kemur ekki í hans stað. Aðrir þjónar sem treysta sama CA deila ekki þessari biðlarasérstöku reglu þessa þjóns. Fylgdu afturköllunar- og skiptiferli útgefandans og haltu gagnagrunni CA sem hinu opinbera skjali. Tímabundið hlé krefst hins vegar skjalfestrar ástæðu og endurheimtarþreps.

Þegar aðgangur er endurheimtur skaltu fjarlægja takmörkunina í gegnum eininguna sem á hana og staðfesta að ný tenging takist. Skráðu líka slóð disable-línunnar, því síðari stillingasamstilling getur sett hana aftur á hljóðláta vegu. Haltu hléinu, eiganda þess og dagsetningu í uppsetningarskriftum, svo næsti stjórnandi finni ekki óútskýrða disable-línu mánuðum síðar.