ಒಂದು OpenVPN ಕ್ಲೈಂಟ್ ಅನ್ನು ವಿರಾಮಗೊಳಿಸುವುದು: ರದ್ದತಿ ಏಕೆ ತಪ್ಪು ಲಿವರ್

ಒಂದು ಕ್ಲೈಂಟ್ನ ಪ್ರವೇಶವನ್ನು ವಿರಾಮಗೊಳಿಸುವುದು ಮತ್ತು ಅದನ್ನು ಶಾಶ್ವತವಾಗಿ ತೆಗೆದುಹಾಕುವುದು, ಎರಡರಲ್ಲಿ ಒಂದನ್ನು ಹಿಂತಿರುಗಿಸಲು ಪ್ರಯತ್ನಿಸುವವರೆಗೆ ಒಂದೇ ಕೆಲಸದಂತೆ ಕಾಣುತ್ತದೆ. ಪ್ರಮಾಣಪತ್ರ ರದ್ದತಿಯು ಸರ್ವರ್ ಅಂತಿಮ ಎಂದು ಪರಿಗಣಿಸುವ ದಾಖಲೆಯನ್ನು ಬರೆಯುತ್ತದೆ, ಮತ್ತು ಅದನ್ನು ಹಿಂತಿರುಗಿಸುವುದು ಎಂದರೆ ನೀಡುವವರ ಡೇಟಾಬೇಸ್ ಅನ್ನು ಕೈಯಿಂದ ಸಂಪಾದಿಸುವುದು. ಚಾಲ್ತಿಯಲ್ಲಿರುವ ಟನೆಲ್ ಅನ್ನು ಬಿಡುವುದು ನಂಬಿಕೆಯಲ್ಲಿ ಏನನ್ನೂ ಬದಲಾಯಿಸದ ನಿರ್ವಹಣಾ ಆದೇಶ. ಕೀಲಿಯು ಇನ್ನೂ ನಂಬಲರ್ಹವೇ ಎಂದು ಕೇಳಿ ಲಿವರ್ ಆಯ್ಕೆಮಾಡಿ, ವಿನಂತಿ ಎಷ್ಟು ತುರ್ತಾಗಿದೆ ಎಂದು ಕೇಳಿ ಅಲ್ಲ.

ನಂಬಿಕೆ: ರದ್ದುಗೊಳಿಸಿದ ಮತ್ತು ಅಮಾನತುಗೊಳಿಸಿದ ಒಂದೇ ವಿಷಯ

ಗುತ್ತಿಗೆದಾರರನ್ನು ಒಂದು ವಾರ ಅಮಾನತುಗೊಳಿಸಲಾಗುತ್ತದೆ ಮತ್ತು ಪ್ರತಿಕ್ರಿಯೆ ರದ್ದತಿಯಾಗಿರುತ್ತದೆ, ಏಕೆಂದರೆ ರದ್ದತಿ ಏನನ್ನೋ ಆಫ್ ಮಾಡಿದಂತೆ ಕೇಳಿಸುತ್ತದೆ. ಅದು ಅಚ್ಚುಕಟ್ಟಾಗಿ ಕಾಣುತ್ತದೆ, ಹತ್ತು ಸೆಕೆಂಡು ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ, ಮತ್ತು ಹಿಂತಿರುಗುವ ಏಕೈಕ ಮಾರ್ಗವಾಗಿ ಡೇಟಾಬೇಸ್ ಸಂಪಾದನೆಯನ್ನು ಬಿಡುತ್ತದೆ. ಈ ಪ್ರತಿಕ್ರಿಯೆ ಅರ್ಥವಾಗುತ್ತದೆ ಮತ್ತು ಅದು ಬಾಗಿಲು ಮುಚ್ಚುವುದಕ್ಕಿಂತ ಪಾಸ್ಪೋರ್ಟ್ ಸುಡುವುದಕ್ಕೆ ಹತ್ತಿರವಾಗಿದೆ. ಅಮಾನತುಗೊಂಡ ಸಾಧನ ಮತ್ತು ರಾಜಿಯಾದ ಕೀಲಿಗೆ ಬೇರೆ ಬೇರೆ ನಡವಳಿಕೆ ಬೇಕು, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಒಂದನ್ನು ಮಾತ್ರ ಅಗ್ಗವಾಗಿ ಹಿಂತಿರುಗಿಸಬಹುದು.

ವ್ಯತ್ಯಾಸ ವ್ಯಕ್ತಿಯದ್ದಲ್ಲ, ರುಜುವಾತಿನದ್ದು. ಇನ್ನೂ ಸರಿಯಾದ ಕೈಯಲ್ಲಿರುವ ಕೀಲಿಯನ್ನು ಯಾವುದೇ ನಂಬಿಕೆ ನಷ್ಟವಿಲ್ಲದೆ ಅಮಾನತುಗೊಳಿಸಿ ಮುಂದುವರಿಸಬಹುದು. ನಕಲಾಗಿರಬಹುದಾದ ಕೀಲಿಯನ್ನು ಎಂದಿಗೂ ಮರುಸ್ಥಾಪಿಸಬಾರದು, ಏಕೆಂದರೆ ಮರುಸ್ಥಾಪನೆ ನಕಲು ಇಲ್ಲ ಎಂದು ಪ್ರತಿಪಾದಿಸುತ್ತದೆ.

ಎರಡೂ ವ್ಯವಸ್ಥೆಗಳಲ್ಲಿ ಯಾವುದನ್ನೂ ಮುಟ್ಟುವ ಮೊದಲು ಉತ್ತರವನ್ನು ಬರೆಯಿರಿ. ಕೀಲಿ ಬಹಿರಂಗವಾಗಿದೆಯೇ ಎಂದು ನೀವು ಹೇಳಲಾಗದಿದ್ದರೆ, ಸಂಪ್ರದಾಯವಾದಿ ಉತ್ತರ ಬದಲಾವಣೆ.

ನಿರ್ವಹಣಾ ಇಂಟರ್ಫೇಸ್ನಿಂದ ಚಾಲ್ತಿಯಲ್ಲಿರುವ ಸೆಷನ್ ಬಿಡಿ

OpenVPN ಸೆಷನ್ಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡಬಹುದಾದ ಮತ್ತು ಸಾಮಾನ್ಯ ಹೆಸರಿನಿಂದ ಅವುಗಳಲ್ಲಿ ಒಂದನ್ನು ಕೊಲ್ಲಬಹುದಾದ ನಿರ್ವಹಣಾ ಇಂಟರ್ಫೇಸ್ ನೀಡುತ್ತದೆ. ಅದನ್ನು localhost ನಲ್ಲಿ ಸಕ್ರಿಯಗೊಳಿಸಿ, ಸಾರ್ವಜನಿಕ ಇಂಟರ್ಫೇಸ್ನಿಂದ ದೂರವಿಡಿ, ಮತ್ತು ಸೆಷನ್ ಈಗಲೇ ಮಾಯವಾಗಬೇಕಾದರೆ ಕೊಲ್ಲುವ ಆದೇಶ ಕಳುಹಿಸಿ. ಆದೇಶ ಆ ಟನೆಲ್ ಅನ್ನು ಮಾತ್ರ ಮುಚ್ಚುತ್ತದೆ, ಮತ್ತು ಉಳಿದ ಪ್ರತಿ ಕ್ಲೈಂಟ್ ಕೆಲಸ ಮುಂದುವರಿಸುತ್ತದೆ.

ಇದು ಸಕ್ರಿಯ ಸಮಸ್ಯೆಗೆ ಪ್ರತಿಕ್ರಿಯೆ, ಅಮಾನತು ನೀತಿ ಅಲ್ಲ. ಅದೇ ಪ್ರೊಫೈಲ್ ಒಂದು ನಿಮಿಷದಲ್ಲಿ ಮತ್ತೆ ಸಂಪರ್ಕ ಹೊಂದಬಹುದು, ಏಕೆಂದರೆ ಅದರ ರುಜುವಾತಿನಲ್ಲಿ ಏನೂ ಬದಲಾಗಿಲ್ಲ. ಸೆಷನ್ ಹೋಗಬೇಕಾದರೆ ಮತ್ತು ಶಾಶ್ವತ ನಿರ್ಧಾರ ಇನ್ನೂ ತೆಗೆದುಕೊಳ್ಳುತ್ತಿರುವಾಗ ಅದನ್ನು ಬಳಸಿ.

ಕೊಲ್ಲುವ ಮೊದಲು ಸೆಷನ್ ಸಂಪರ್ಕ ಹೊಂದಿತ್ತೆಂದು ಖಚಿತಪಡಿಸಿ, ಎಂದಿಗೂ ಸಂಪರ್ಕ ಹೊಂದದ ಕ್ಲೈಂಟ್ನ ಬೆನ್ನು ಬೀಳದಂತೆ. ಕೆಳಗಿನ ಸ್ಥಿತಿ ಆದೇಶ ಈಗ ಏನು ಸಂಪರ್ಕದಲ್ಲಿದೆ ಎಂದು ಮುದ್ರಿಸುತ್ತದೆ.

printf 'status 2\nquit\n' | nc 127.0.0.1 7506
printf 'kill kiosk-14\nquit\n' | nc 127.0.0.1 7506

ಕೊಲ್ಲುವ ಆದೇಶ ಅಂತಹ ಕ್ಲೈಂಟ್ ಇಲ್ಲ ಎಂದು ತಿಳಿಸಿದರೆ, ಪ್ರಮಾಣಪತ್ರದಲ್ಲಿನ ಸಾಮಾನ್ಯ ಹೆಸರು ನೀವು ಟೈಪ್ ಮಾಡಿದ ಸ್ಟ್ರಿಂಗ್ ಅಲ್ಲ. ಪ್ರೊಫೈಲ್ ಫೈಲ್ನ ಹೆಸರಿನ ಬದಲು ಸ್ಥಿತಿ ಔಟ್ಪುಟ್ ಓದಿ.

CRL ನಿಜವಾಗಿ ಏನನ್ನು ನಿಯಂತ್ರಿಸುತ್ತದೆ

ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರದಲ್ಲಿ ಸಂಗ್ರಹವಾದ ರದ್ದತಿ ಧ್ವಜವನ್ನು ನೋಡುವುದಿಲ್ಲ. ಅದು crl-verify ನಲ್ಲಿ ಹೆಸರಿಸಲಾದ ಪ್ರಮಾಣಪತ್ರ ರದ್ದತಿ ಪಟ್ಟಿಯನ್ನು ಪ್ರತಿ ಹೊಸ ಸಂಪರ್ಕದಲ್ಲೂ ಓದುತ್ತದೆ ಮತ್ತು ಆ ಪಟ್ಟಿಯಲ್ಲಿ ಸರಣಿ ಸಂಖ್ಯೆ ಇರುವ ಪ್ರಮಾಣಪತ್ರವನ್ನು ತಿರಸ್ಕರಿಸುತ್ತದೆ. ಅದರಿಂದ ಎರಡು ಪರಿಣಾಮಗಳು ಬರುತ್ತವೆ, ಮತ್ತು ಎರಡೂ ಕಾರ್ಯಾಚರಣೆಯಲ್ಲಿ ಮುಖ್ಯ. ಫೈಲ್ ಸರ್ವರ್ ತನ್ನ ಅಧಿಕಾರಗಳನ್ನು ಇಳಿಸುವ ಖಾತೆಗೆ ಓದಬಹುದಾದದ್ದಾಗಿರಬೇಕು, ಮತ್ತು ಈಗಾಗಲೇ ಸಂಪರ್ಕದಲ್ಲಿರುವ ಕ್ಲೈಂಟ್ ಮತ್ತೆ ಸಂಪರ್ಕ ಹೊಂದುವವರೆಗೆ ಕೆಲಸ ಮುಂದುವರಿಸುತ್ತದೆ.

ಎರಡನೇ ಪರಿಣಾಮ ಘಟನೆಗಳ ಸಮಯದಲ್ಲಿ ಜನರನ್ನು ಬೆಚ್ಚಿಬೀಳಿಸುತ್ತದೆ. ಪ್ರಮಾಣಪತ್ರ ರದ್ದತಿ ಅದನ್ನು ಈಗ ಬಳಸುತ್ತಿರುವ ಟನೆಲ್ ಅನ್ನು ಮುಚ್ಚುವುದಿಲ್ಲ. ಸೆಷನ್ ತಕ್ಷಣ ಮುಗಿಯಬೇಕಾದರೆ ರದ್ದತಿಯನ್ನು ನಿರ್ವಹಣಾ ಕೊಲ್ಲುವಿಕೆಯೊಂದಿಗೆ ಜೋಡಿಸಿ, ಮತ್ತು ಎರಡೂ ಕ್ರಿಯೆಗಳನ್ನು ಕೈಪಿಡಿಯಲ್ಲಿ ಪ್ರತ್ಯೇಕ ಹಂತಗಳಾಗಿ ಪರಿಗಣಿಸಿ.

ಕೊನೆಯದಾಗಿ ನಕಲಿಸಿದ ಫೈಲ್ನ ಸಮಯಮುದ್ರೆಯನ್ನು ನಂಬುವ ಬದಲು, ಸರ್ವರ್ ನಿಜವಾಗಿ ಏನನ್ನು ಜಾರಿಗೊಳಿಸುತ್ತದೆ ಎಂದು ನೋಡಲು ಪಟ್ಟಿಯನ್ನು ಪರಿಶೀಲಿಸಿ. ಸರಣಿ ಸಂಖ್ಯೆಗಳ ಎಣಿಕೆಯೇ ಮುಖ್ಯ ಭಾಗ.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | sed -n '1,14p'
ls -l /etc/openvpn/server/crl.pem

ನಮೂದುಗಳಿಲ್ಲದ ಪಟ್ಟಿ ಮತ್ತು ಸರಿಯಾದ ನಮೂದುಗಳಿರುವ ಪಟ್ಟಿ ಡೈರೆಕ್ಟರಿ ಪಟ್ಟಿಯಲ್ಲಿ ಒಂದೇ ರೀತಿ ಕಾಣುತ್ತವೆ, ಆದ್ದರಿಂದ ಸರಣಿ ಸಂಖ್ಯೆಗಳ ಎಣಿಕೆಯನ್ನು ಮುದ್ರಿಸುವುದು ಯೋಗ್ಯ. ಅನುಮತಿ ಸಾಲೂ ಅಷ್ಟೇ ಮುಖ್ಯ, ಏಕೆಂದರೆ ಡೀಮನ್ ಓದಲಾಗದ ಫೈಲ್ ತಿರಸ್ಕೃತ ಕ್ಲೈಂಟ್ನಂತೆ ಕಾಣುವ ವೈಫಲ್ಯವನ್ನು ಉಂಟುಮಾಡುತ್ತದೆ.

ದಾಖಲೆಯನ್ನು ಮರುಸ್ಥಾಪಿಸುವುದು, ಎಚ್ಚರಿಕೆಯಿಂದ

ಪ್ರಮಾಣಪತ್ರ ಮರುಸ್ಥಾಪನೆ ಎಂದರೆ ನೀಡಿಕೆ ಡೇಟಾಬೇಸ್ನಲ್ಲಿ ದಾಖಲೆಯನ್ನು ತಿರುಗಿಸಿ ಹೊಸ ಪಟ್ಟಿಯನ್ನು ಪ್ರಕಟಿಸುವುದು. easy-rsa 3 ಆ ಡೇಟಾಬೇಸ್ ಅನ್ನು PKI ಡೈರೆಕ್ಟರಿಯ ಅಡಿಯಲ್ಲಿ index.txt ಆಗಿ ಇಡುತ್ತದೆ, ಹಳೆಯ ಜೋಡಣೆಗಳು ಬೇರೆ ವ್ಯವಸ್ಥೆ ಬಳಸುತ್ತಿದ್ದವು. ಸಾಲು ಸ್ಥಿತಿ ಅಕ್ಷರ ಮತ್ತು ಮುಕ್ತಾಯ ದಿನಾಂಕದಿಂದ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ. ರದ್ದುಗೊಂಡ ಸಾಲು ಸರಣಿ ಸಂಖ್ಯೆ, ಪ್ರಮಾಣಪತ್ರ ಫೈಲ್ ಹೆಸರು ಮತ್ತು ವಿಶಿಷ್ಟ ಹೆಸರಿನೊಂದಿಗೆ ಮುಂದುವರಿಯುವ ಮೊದಲು ರದ್ದತಿಗೆ ಸಮಯಮುದ್ರೆ ಸೇರಿಸುತ್ತದೆ. ಸಾಲನ್ನು ಹಿಂದಕ್ಕೆ ಇಡುವುದು ಎಂದರೆ ಆ ಸಮಯಮುದ್ರೆಯನ್ನು ಅಳಿಸಿ ಅಕ್ಷರವನ್ನು ತಿರುಗಿಸುವುದು, ಉಳಿದುದನ್ನು ಹಾಗೆಯೇ ಬಿಡುವುದು.

ಮೊದಲು ಫೈಲ್ನ ಬ್ಯಾಕಪ್ ತೆಗೆದುಕೊಳ್ಳಿ, ಮತ್ತು ಸಂಪಾದನೆಯನ್ನು ಪಠ್ಯ ಸಂಪಾದಕದಲ್ಲಿ ಟೈಪ್ ಮಾಡುವ ಬದಲು ಸ್ಕ್ರಿಪ್ಟ್ ಆಗಿ ಮಾಡಿ. ಸಾಲಿನಲ್ಲಿ ಎಷ್ಟು ಕ್ಷೇತ್ರಗಳಿವೆ ಎಂಬುದನ್ನು ಬದಲಿಸುವ ಟೈಪೊ ನಂತರ ಸೇರಿಸಿದ ಪ್ರತಿ ಪ್ರಮಾಣಪತ್ರದ ನೀಡಿಕೆಯನ್ನು ಮುರಿಯುತ್ತದೆ. ಆದ್ದರಿಂದ ಬದಲಾವಣೆಯನ್ನು ಸ್ವಯಂಚಾಲಿತಗೊಳಿಸಿ, ಮುಟ್ಟುವ ಮೊದಲು ಫೈಲ್ ನಕಲಿಸಿ.

ಅದೇ ಹೆಸರಿನ ಎರಡನೇ ರದ್ದತಿಯೂ ಹೆಚ್ಚಾಗಿ ವಿಫಲವಾಗುತ್ತದೆ, ಏಕೆಂದರೆ ಮೊದಲ ಸಲದ ಓಟ ಆ ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಅದರ ಕೀಲಿಯನ್ನು ಉಪಕರಣ ನಿರೀಕ್ಷಿಸುವ ಡೈರೆಕ್ಟರಿಗಳಿಂದ ಹೊರಗೆ ಸರಿಸಿತು. ಆಗ ಉಪಕರಣ ರದ್ದು ಮಾಡಲು ಹೇಳಿದ್ದನ್ನು ಹುಡುಕಲಾಗದು, ಮತ್ತು ದೋಷ ಸಂದೇಶ ಏಕೆ ಎಂದು ಯಾವಾಗಲೂ ಸ್ಪಷ್ಟವಾಗಿ ಹೇಳುವುದಿಲ್ಲ.

cp /etc/easy-rsa/pki/index.txt /root/index.txt.$(date +%F-%H%M)
grep -c '^R' /etc/easy-rsa/pki/index.txt
easyrsa gen-crl

ಹೊಸ ಪಟ್ಟಿಯನ್ನು ಪ್ರಕಟಿಸಿ, ಅದರ ಮಾಲೀಕತ್ವ ಸರಿಪಡಿಸಿ, ಮತ್ತು ಸರ್ವರ್ ಅದನ್ನು ಓದುವಂತೆ ಮಾಡಿ. ಹೆಚ್ಚಿನ ಸ್ಥಾಪನೆಗಳಲ್ಲಿ ಮರುಲೋಡ್ ಸಾಕು, ಆದರೆ ದೃಢೀಕರಣ ಹೊಸ ಸಂಪರ್ಕದಿಂದ ಬರಬೇಕು, ಏಕೆಂದರೆ ಇರುವ ಸೆಷನ್ ಏನನ್ನೂ ಮತ್ತೆ ಪರಿಶೀಲಿಸಿಲ್ಲ.

ಪ್ರಕರಣಕ್ಕೆ ಯಾವ ಲಿವರ್ ಯೋಗ್ಯ ಎಂದು ಪರಿಶೀಲಿಸಿ

ಇಡೀ ಕೈಪಿಡಿಯನ್ನು ನಿರ್ಧರಿಸುವ ಒಂದು ಪ್ರಶ್ನೆ ಕೇಳಿ: ಖಾಸಗಿ ಕೀಲಿ ಇನ್ನೂ ಇರಬೇಕಾದಲ್ಲಿ ಮಾತ್ರ ಇದೆಯೇ. ಹಾಗಿದ್ದರೆ, ಸೆಷನ್ ಕೊಲ್ಲುವುದು ಮತ್ತು ದಾಖಲಿತ ವಿರಾಮ ಪ್ರಕರಣವನ್ನು ಮುಚ್ಚುತ್ತದೆ ಮತ್ತು ಶಾಶ್ವತ ದಾಖಲೆ ಬಿಡುವುದಿಲ್ಲ. ಇಲ್ಲದಿದ್ದರೆ, ಏಕೈಕ ಸುರಕ್ಷಿತ ಉತ್ತರ ಹೊಸ ಕೀಲಿ, ಮತ್ತು ಹಳೆಯ ಪ್ರಮಾಣಪತ್ರ ರದ್ದಾಗಿಯೇ ಉಳಿಯುತ್ತದೆ.

ನಂತರ ಫಲಿತಾಂಶವನ್ನು ಸಂರಚನಾ ವ್ಯತ್ಯಾಸದಿಂದ ಅಲ್ಲ, ಸಂಪರ್ಕ ಪ್ರಯತ್ನದಿಂದ ಪರಿಶೀಲಿಸಿ. ವ್ಯತ್ಯಾಸ ನೀವು ಏನು ಉದ್ದೇಶಿಸಿದ್ದೀರಿ ಎಂದು ಹೇಳುತ್ತದೆ, ಮತ್ತು ಸಂಪರ್ಕ ಸರ್ವರ್ ಏನನ್ನು ಜಾರಿಗೊಳಿಸುತ್ತದೆ ಎಂದು ಹೇಳುತ್ತದೆ.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | grep -c 'Serial Number'
printf 'status 2\nquit\n' | nc 127.0.0.1 7506

ಮರುಸ್ಥಾಪಿತ ಕ್ಲೈಂಟ್ ಸಂಪರ್ಕ ಹೊಂದಿ ಸ್ಥಿತಿ ಔಟ್ಪುಟ್ನಲ್ಲಿ ಕಾಣಿಸಿದರೆ, ದಾಖಲೆ ಸಂಪಾದನೆ ಕೆಲಸ ಮಾಡಿತು. ರದ್ದುಗೊಂಡ ಕ್ಲೈಂಟ್ ತಿರಸ್ಕೃತವಾಗಿ ಲಾಗ್ CRL ಅನ್ನು ಹೆಸರಿಸಿದರೆ, ರದ್ದತಿ ಕೆಲಸ ಮಾಡಿತು. ಅವುಗಳ ನಡುವಿನ ಯಾವುದೂ ಅನುಮತಿ ಅಥವಾ ಮರುಲೋಡ್ ಸಮಸ್ಯೆ, ಮತ್ತು ಮುಂದಿನ ವಿನಂತಿ ಬರುವ ಮೊದಲು ಅದನ್ನು ಸರಿಪಡಿಸುವುದು ಯೋಗ್ಯ.