ერთი OpenVPN კლიენტის შეჩერება მისი სერტიფიკატის გაუქმების გარეშე

როცა ლეპტოპი ერთი კვირით სარემონტო მაგიდაზე მიდის, ჩვეულებრივი ინსტინქტია მისი სერტიფიკატის CA-იდან წაშლა. ეს ჩანაწერი გამომცემლის რეესტრია და არა დროებითი წვდომის გადამრთველი. OpenVPN-ს უკვე აქვს თითოეული კლიენტისთვის კავშირის უარყოფის მექანიზმი და მისი გამოყენება CA-ის ისტორიას უცვლელად ინახავს. ორი კონტროლი სხვადასხვა კითხვას პასუხობს და მათი შერევა სამუშაოს ქმნის, როცა მოწყობილობა ბრუნდება.

ორი ჩანაწერი, ორი განსხვავებული საქმე

CA-ის მონაცემთა ბაზა აღრიცხავს, რას მოაწერა ხელი გამომცემელმა და რა გააუქმა მოგვიანებით. მას მიმართავს გაუქმების პროცესები და ყველაფერი, რაც კითხულობს CRL-ს ან რეესტრის საკუთარ ასლს. წვდომის წესი სერვერზე ცხოვრობს და ვრცელდება იმ კავშირებზე, რომლებსაც ეს სერვერი იღებს.

გამოცემის ჩანაწერის წაშლა სერტიფიკატს საიმედოდ არ აუქმებს და აფუჭებს იმ ისტორიას, რომელსაც შემდგომი გაუქმება ან აუდიტი ეყრდნობა. სერვერის მხარეს კონტროლი უფრო ვიწრო და შექცევადია. ჩაწერეთ განსხვავება ცვლილების ჩანაწერში, რომ შემდეგმა ადამიანმა არ მოძებნოს გაუქმება, რომელიც არასდროს მომხდარა.

გამორთვის მითითება სწორ ფაილში ჩადეთ

საზოგადოებრივი სერვერისთვის, რომელიც კლიენტის სპეციფიკურ კონფიგურაციას იყენებს, დოკუმენტირებული disable მითითება ერთ შერჩეულ კლიენტს უარყოფს. ის ამ კლიენტის ფაილში უნდა იყოს აქტიური client-config-dir-ის ქვეშ და არა სერვერის მთავარ კონფიგურაციაში. დაადასტურეთ დირექტორია, რომელსაც მოქმედი დემონი რეალურად იყენებს, შემდეგ დაადასტურეთ ის იდენტობა, რომელიც ფაილს ირჩევს. არასწორი საერთო სახელით დასახელებული ფაილი სწორად გამოიყურება და არასდროს იკითხება.

disable

ასახვის არჩევანი აქ მნიშვნელოვანია. პარამეტრები, როგორიცაა username-as-common-name, ცვლის, რომელ იდენტობას იყენებს ძიება, ამიტომ სერტიფიკატის სუბიექტის სახელზე დასახელებული ფაილი შეიძლება არ იყოს გამოყენებული. წაიკითხეთ დაყენებული ვერსიის OpenVPN-ის ცნობარი იმის ნაცვლად, რომ ჩათვალოთ მითითება ყველა კონტექსტში ძალაში.

გამოყავით ახალი წვდომა აქტიური სესიებისგან

შემდეგი ხელის ჩამორთმევის უარყოფა უკვე აწეულ გვირაბს არ ამთავრებს. თუ მოწყობილობა ახლა უნდა გათიშდეს, გამოიყენეთ სერვერის ავტორიზებული სესიების მართვის გზაც სწორედ ამ სესიისთვის. სხვაგვარად კლიენტი მუშაობას გააგრძელებს, სანამ თავად ხელახლა დაუკავშირდება, ხოლო ლეპტოპის სახურავის დახურვა ან კლიენტიდან გასვლა კლიენტის მხრის მოქმედებაა, რომელიც სერვერზე არაფერს ამბობს.

შეამოწმეთ ორივე შედეგი: აქტიური სესია წყდება მაშინ, როცა გსურთ, და ახალი ხელის ჩამორთმევა უარყოფილია. დახურული კლიენტის ფანჯარა სერვერის პოლიტიკაზე არაფერს ამტკიცებს.

თუ განლაგებას აქტიური სესიის დასრულების მხარდაჭერილი გზა არ აქვს, ჩაწერეთ ეს ხარვეზი და ნუ გამოიგონებთ მას. კლიენტზე დაბლოკილი პორტი არ არის იგივე, რაც სერვერის მხარეს პოლიტიკა.

პაუზა და კომპრომისი სხვადასხვა მოვლენაა

დაკარგული ან მოპარული გასაღები გაუქმების მოვლენაა და ლოკალური წვდომის პაუზა მას არ ცვლის. სხვა სერვერები, რომლებიც იმავე CA-ს ენდობიან, ამ სერვერის კლიენტის სპეციფიკურ წესს არ გაიზიარებენ. მიჰყევით გამომცემლის გაუქმებისა და ჩანაცვლების პროცესს და შეინახეთ CA-ის მონაცემთა ბაზა, როგორც ავტორიტეტული ჩანაწერი. დროებითი პაუზა, პირიქით, მოითხოვს დოკუმენტირებულ მიზეზს და აღდგენის ნაბიჯს.

როცა წვდომა აღდგება, მოხსენით შეზღუდვა იმ კომპონენტის მეშვეობით, რომელიც მას ფლობს, და დაადასტურეთ, რომ ახალი კავშირი წარმატებულია. ჩაწერეთ ასევე disable ხაზის გზა, რადგან მოგვიანებით კონფიგურაციის სინქრონიზაციამ შეიძლება ჩუმად დააბრუნოს იგი. შეინახეთ პაუზა, მისი მფლობელი და თარიღი განლაგების შენიშვნებში, რომ შემდეგმა ადმინისტრატორმა თვეების შემდეგ აუხსნელი disable ხაზი არ იპოვოს.