인증서를 폐기하지 않고 OpenVPN 클라이언트 하나를 일시 중지하기

노트북이 일주일 동안 수리대에 맡겨질 때 흔한 본능은 그 인증서를 CA에서 제거하는 것입니다. 그 기록은 발급자의 원장이며 임시 접속 스위치가 아닙니다. OpenVPN에는 이미 클라이언트별로 연결을 거부하는 장치가 있고, 그것을 쓰면 CA의 이력이 그대로 유지됩니다. 두 제어는 서로 다른 질문에 답하며, 둘을 섞으면 기기가 돌아왔을 때 일이 생깁니다.

두 기록, 두 가지 역할

CA 데이터베이스는 발급자가 무엇에 서명했고 나중에 무엇을 폐기했는지를 기록합니다. 폐기 절차와 CRL 또는 원장의 자체 사본을 읽는 모든 것이 이 데이터베이스를 조회합니다. 접속 규칙은 서버에 살며 그 서버가 받아들이는 연결에 적용됩니다.

발급 기록을 삭제해도 인증서가 확실히 폐기되지 않으며, 나중의 폐기나 감사가 의존하는 이력을 훼손합니다. 서버 쪽 제어는 범위가 좁고 되돌릴 수 있습니다. 변경 메모에 차이를 적어 두어 다음 사람이 일어난 적 없는 폐기를 찾지 않게 하세요.

비활성화 지시문을 올바른 파일에 두기

클라이언트별 구성을 쓰는 커뮤니티 서버에서는 문서화된 disable 지시문이 선택한 클라이언트 하나를 거부합니다. 이 지시문은 활성 client-config-dir 아래 해당 클라이언트의 파일에 들어가며, 서버의 기본 구성이 아닙니다. 실행 중인 데몬이 실제로 쓰는 디렉터리를 확인하고, 이어서 파일을 선택하는 식별자를 확인하세요. 잘못된 공통 이름으로 명명된 파일은 올바르게 보이지만 결코 읽히지 않습니다.

disable

여기서는 매핑 선택이 중요합니다. username-as-common-name 같은 옵션은 조회가 어떤 식별자를 쓰는지 바꾸므로, 인증서 주체 이름으로 만든 파일이 적용되는 파일이 아닐 수 있습니다. 설치된 버전의 OpenVPN 참조 문서를 읽고, 어느 문맥에서나 유효하다고 가정하지 마세요.

새 접속 허용과 활성 세션 분리하기

다음 핸드셰이크를 거부한다고 이미 올라간 터널이 끝나지는 않습니다. 기기를 지금 끊어야 한다면 그 특정 세션에 대해 서버의 승인된 세션 관리 경로도 함께 쓰세요. 그렇지 않으면 클라이언트는 스스로 다시 연결할 때까지 계속 동작하며, 노트북 덮개를 닫거나 클라이언트를 종료하는 것은 서버에 대해 아무것도 알려주지 않는 클라이언트 측 동작입니다.

두 결과, 즉 활성 세션이 의도한 시점에 멈추는지와 새 핸드셰이크가 거부되는지를 모두 확인하세요. 클라이언트 창을 닫았다고 해서 서버 정책이 증명되지는 않습니다.

배포 환경에 활성 세션을 끝내는 지원되는 방법이 없다면, 만들어 내지 말고 그 공백을 기록하세요. 클라이언트에서 포트를 막는 것은 서버 쪽 정책과 같지 않습니다.

일시 중지와 침해는 다른 사건

분실되거나 도난당한 키는 폐기 사건이며, 로컬 접속 중지는 이를 대신하지 못합니다. 같은 CA를 신뢰하는 다른 서버들은 이 서버의 클라이언트별 규칙을 공유하지 않습니다. 발급자의 폐기 및 교체 절차를 따르고 CA 데이터베이스를 권위 있는 기록으로 유지하세요. 반면 임시 중지에는 문서화된 이유와 복구 단계가 필요합니다.

접속이 복구되면 그 제한을 소유한 구성 요소를 통해 해제하고 새 연결이 성공하는지 확인하세요. 나중의 구성 동기화가 조용히 되돌릴 수 있으므로 disable 줄의 경로도 기록하세요. 중지, 소유자, 날짜를 배포 노트에 남겨 다음 관리자가 몇 달 뒤 설명 없는 disable 줄을 발견하지 않도록 하세요.