გაუქმებული კლიენტი მაინც უკავშირდება: სია არასდროს მივიდა
გაუქმება სერტიფიკატის შემოწმების შესაყვანია და არა ბრძანება, რომელიც სესიას ამთავრებს. შეადარეთ, როგორ ხედავს სიას ახალი კავშირი და მოქმედი გვირაბი.
გაუქმება არასდროს შედის მოქმედ გვირაბში სესიის წასაშლელად. სია სერტიფიკატის შემოწმების შესაყვანია და იკითხება TLS სესიის დამწყებ საკონტროლო არხის გაცვლისას. ეს ერთი ფაქტი ხსნის ორივე გაკვირვებას: გაუქმებული კლიენტი ხელახლა უკავშირდება, რადგან სია არასდროს მივიდა შემმოწმებელთან, ხოლო არსებული სესია ცოცხლობს, რადგან არავინ არაფერი ხელახლა არ შეამოწმა.
სია შესაყვანია და არა მოქმედება
სესიის დაყენებისას სერვერი ამოწმებს კლიენტის სერტიფიკატს თავის ნდობის წამყვანებთან, და გაუქმების დირექტივა ამ გადაწყვეტილებას სიის ძიებას ამატებს. შემოწმება სერვერზე ხდება, ამიტომ კლიენტი ვერ ხედავს, რომ მისი სერტიფიკატი გაუქმდა, და იგივეს სთავაზობს. ამიტომ ჯერ კიდევ დაკავშირებული პროფილი მხოლოდ იმას ამტკიცებს, რომ რაღაც შემმოწმებელმა ჯაჭვი მიიღო, და არა იმას, რომ გაუქმება ჩავარდა.
სია თავისთავად ხელმოწერილი ობიექტია გამოშვების თარიღითა და შემდეგი განახლების თარიღით. უკავშირო სია, სხვა ორგანოს მიერ ხელმოწერილი სია ან ის, რომლის შემდეგი განახლებაც გავიდა, მიმდინარეს არ ცვლის, და ძველი სიის უარყოფა თუ ჩუმად მიღება განლაგებაზეა დამოკიდებული.
ახალი კავშირი მოქმედი სესიის წინააღმდეგ
გაუქმება ფასდება სესიის დაყენების ან ხელახალი მოლაპარაკების დროს და არა მონაცემთა არხის წინააღმდეგ ყოველ პაკეტზე. უკვე დაკავშირებულ კლიენტს ტრაფიკის გასაღებები აქვს, ამიტომ პაკეტებს ატარებს მას შემდეგაც, რაც მისი სერტიფიკატი სიაში გამოჩნდება. ნაგულისხმევი ხელახალი მოლაპარაკების ინტერვალი საათებით იზომება, ამიტომ განახლებულმა სიამ შეიძლება ახალმოსულებზე იმოქმედოს, სანამ მოქმედი გვირაბი რჩება.
| Situation | What the list does | When it applies |
|---|---|---|
| Fresh connection | Blocks the handshake | At verification, immediately |
| Renegotiation | Blocks the new exchange | At the next renegotiation interval |
| Established data channel | Nothing | Until the session ends |
დაუყოვნებელი აღსრულება მიზანმიმართულ ქმედებას მოითხოვს და არა მხოლოდ სიას. სერვისის გადატვირთვა ყველა კლიენტს აიძულებს ხელახლა დაკავშირდეს, ხოლო მართვის ინტერფეისიდან ერთი სესიის შეწყვეტა დანარჩენებს ხელუხლებლად ტოვებს. აირჩიეთ ერთი თითო ინციდენტზე და ჩაწერეთ, რომელი გამოიყენეთ. ორ ვარიანტს განსხვავებული ზემოქმედების რადიუსი აქვს და ეს არის ნამდვილი გადაწყვეტილება.
მიაწოდეთ ის ფაილი, რომელსაც შემმოწმებელი ნამდვილად კითხულობს
სია ორგანოს ჩანაწერიდან უნდა შეიქმნას და შემდეგ სერტიფიკატების შემმოწმებელ ყველა მანქანაზე დაკოპირდეს. მისი CA ჰოსტზე შექმნა და სერვერზე არასდროს დაყენება ყველაზე გავრცელებული ხარვეზია და ზუსტად გატეხილ გაუქმების ფუნქციას ჰგავს.
ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pemორი დეტალი წყვეტს, ნამდვილად იკითხება თუ არა ფაილი. ფარდობითი გზა კონფიგურაციის დირექტორიის მიმართ იხსნება, ამიტომ ოპერატორის სახლის საქაღალდეში დატოვებული ასლი შეიძლება არასდროს მოიძებნოს. და დემონი ჩვეულებრივ გაშვების შემდეგ უარს ამბობს პრივილეგიებზე, ამიტომ გაშვების ანგარიშს სჭირდება ძიების უფლება ყველა მშობელ დირექტორიაში და წაკითხვის უფლება ფაილზე. შეამოწმეთ ორივე გაშვების ანგარიშით და არა root-ით, თორემ ტესტი არასწორ რამეს ამტკიცებს.
systemd ჰოსტებზე გამაგრებულ ერთეულს შეუძლია გზის დამალვაც, მხოლოდ-კითხვადი ხედით ან დაცული სისტემური საქაღალდით. სერვისის შიგნიდან ეს არ გაირჩევა დაკარგული ფაილისგან, ამიტომ ნებართვის შეცდომის ძებნამდე შეამოწმეთ ერთეულის შეზღუდვები. წაიკითხეთ ერთეულის ფაილი სანამ ფაილის რეჟიმს დაადანაშაულებთ.
დაადასტურეთ სერვერზე და არა კლიენტზე
სერვერის ჟურნალი ასახელებს, რა მოხდა: სიის გახსნა, მისი ჩატვირთვა ან შემოწმების ჩავარდნა გაუქმებული სერიული ნომრით. კლიენტი მხოლოდ ზოგად ხელის ჩამორთმევის ხარვეზს აფიქსირებს, ამიტომ კლიენტის ჟურნალები ცუდი ადგილია გაუქმების გადაწყვეტილების საძებნელად.
შეამოწმეთ ახალი მცდელობით გაუქმებული პროფილიდან და შემდეგ გაჩერდით. ამ პროფილიდან წარმატებული კავშირი სიგნალია, რომ შეამოწმოთ ფაილის გზა და გაშვების ანგარიში და არა ჩათვალოთ, რომ სია არასწორი იყო. შეინახეთ ეს წარმატებული მცდელობა მიღების ტესტად და არ ჩათვალოთ ხელახალი კავშირი, რომელიც არ დაგიკვირდათ.
რა არაფერს არ აუქმებს
პროფილის ლეპტოპიდან წაშლა, სერტიფიკატის ფაილის კლიენტიდან მოცილება ან მომხმარებლისთვის დაკავშირების შეწყვეტის თქმა სერვერზე არაფერს ცვლის. სერტიფიკატი ძალაში რჩება მანამ, სანამ ორგანო გაუქმებას ჩაიწერს და შემმოწმებელი მიღებულ სიას წაიკითხავს.
ამიტომ ღირს ჯაჭვის ჩაწერა: ჩაწერეთ გაუქმება, შექმენით და მოაწერეთ ხელი სიას, გაავრცელეთ ზუსტად ეს ფაილი და დაადასტურეთ, რომ სერვისის ანგარიშს შეუძლია მისი წაკითხვა. ყოველი რგოლი მოკლეა და ნებისმიერი დაკარგული რგოლი გაუქმებულ კლიენტს სიხარულით აკავშირებს. ოთხსტრიქონიანი საკონტროლო სია სჯობს ვარაუდს, რომელსაც არც ერთი ხაზი არ აქვს.