Кері қайтарылған клиент әлі қосылады: тізім ешқашан жетпеді

Кері қайтару ешқашан жұмыс істеп тұрған туннельге кіріп, сессияны жоймайды. Тізім сертификатты тексеруге кіріс болып табылады және TLS сессиясын ашатын басқару арнасының алмасуы кезінде қаралады. Осы бір факт екі тосынды да түсіндіреді: кері қайтарылған клиент қайта қосылады, өйткені тізім тексерушіге ешқашан жетпеді, ал бар сессия тірі қалады, өйткені ешкім ештеңені қайта тексерген жоқ.

Тізім — кіріс, әрекет емес

Сессия орнаған кезде сервер клиент сертификатын өзінің сенім анкерлеріне қарсы тексереді, ал кері қайтару директивасы бұл шешімге тізімді іздеуді қосады. Тексеру серверде жүреді, сондықтан клиент өз сертификатының кері қайтарылғанын көре алмайды және сол сертификатты ұсына береді. Сондықтан әлі қосылатын профиль тек қандай да бір тексеруші тізбекті қабылдағанын дәлелдейді, кері қайтару сәтсіз болғанын емес.

Тізімнің өзі — шығарылған күні мен келесі жаңарту күні бар қол қойылған нысан. Байланыссыз тізім, басқа орган қол қойған тізім немесе келесі жаңарту күні өтіп кеткен тізім ағымдағының орнын баспайды, ал ескірген тізім қабылданбай ма, әлде үнсіз қабылдана ма, орналастыруға байланысты.

Жаңа қосылым және жұмыс істеп тұрған сессия

Кері қайтару сессия орнағанда немесе қайта келісілгенде бағаланады, әр пакетте деректер арнасына қарсы емес. Қосылып қойған клиент трафик кілттерін ұстайды, сондықтан сертификаты тізімде пайда болғаннан кейін де пакеттерді өткізе береді. Әдепкі қайта келісу аралығы сағатпен өлшенеді, сондықтан жаңартылған тізім жаңадан келгендерге күшіне енуі мүмкін, ал жұмыс істеп тұрған туннель қалады.

Дереу орындау тізімнің өзінен емес, әдейі жасалған әрекеттен талап етеді. Қызметті қайта іске қосу әр клиентті қайта қосылуға мәжбүрлейді, ал басқару интерфейсі арқылы бір сессияны тоқтату қалғандарына тимейді. Әр оқиға үшін біреуін таңдап, қайсысын қолданғаныңызды жазып қойыңыз. Екі нұсқаның әсер ету радиусы әртүрлі, және нағыз шешім осы.

Тексеруші шынымен оқитын файлды жеткізіңіз

Тізім органның жазбасынан жасалып, содан кейін сертификаттарды тексеретін әр машинаға көшірілуі керек. Оны CA хостында жасап, серверге ешқашан орнатпау — ең жиі кездесетін ақау, және ол бұзылған кері қайтару функциясына ұқсайды.

ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pem

Файлдың шынымен оқылуын екі бөлшек шешеді. Салыстырмалы жол конфигурация каталогына қатысты шешіледі, сондықтан оператордың үй каталогында қалған көшірме ешқашан табылмауы мүмкін. Ал демон әдетте іске қосылғаннан кейін артықшылықтардан бас тартады, сондықтан орындалу тіркелгісіне әр ата-каталогта іздеу рұқсаты және файлға оқу рұқсаты қажет. Екеуін де root-пен емес, орындалу тіркелгісімен тексеріңіз, әйтпесе тест қате нәрсені дәлелдейді.

systemd хосттарында қатайтылған unit жолды да жасыра алады, тек оқуға арналған көрініспен немесе қорғалған жүйелік каталогпен. Қызметтің ішінен оны жоқ файлдан ажырату мүмкін емес, сондықтан рұқсат қатесін іздеуге шықпас бұрын unit шектеулерін тексеріңіз. Файл режимін кінәламас бұрын unit файлын оқыңыз.

Серверде растаңыз, клиентте емес

Сервер журналы не болғанын атайды: тізімді ашу, оны жүктеу немесе кері қайтарылған сериялық нөмірмен тексерудің сәтсіздігі. Клиент тек жалпы қол алысу ақауын хабарлайды, сондықтан кері қайтару шешімін іздеу үшін клиент журналдары нашар орын.

Кері қайтарылған профильден жаңа әрекетпен тексеріп, содан кейін тоқтаңыз. Сол профильден сәтті қосылым файл жолы мен орындалу тіркелгісін тексеруге белгі, тізім қате болды деп болжауға емес. Сол сәтті әрекетті қабылдау тесті ретінде сақтаңыз және өзіңіз бақыламаған қайта қосылымды санамаңыз.

Ештеңені кері қайтармайтын нәрсе

Профильді ноутбуктен жою, сертификат файлын клиенттен алып тастау немесе пайдаланушыға қосылуды тоқтатуды айту серверде ештеңені өзгертпейді. Сертификат орган кері қайтаруды тіркеп, тексеруші алынған тізімді оқығанша жарамды болып қалады.

Сондықтан тізбекті жазып қоюға тұрарлық: кері қайтаруды тіркеңіз, тізімді жасап қол қойыңыз, дәл сол файлды таратыңыз және қызмет тіркелгісі оны оқи алатынын растаңыз. Әр буын қысқа, ал кез келген жетіспейтін буын кері қайтарылған клиентті қуана қосылуда қалдырады. Төрт жолдан тұратын бақылау тізімі бірде-бір жолы жоқ болжамнан артық.