Кайтарылган кардар дагы эле туташат: тизме эч качан жеткен эмес
Кайтаруу — сертификатты текшерүүнүн кириши, сессияны бүтүрүүчү буйрук эмес. Жаңы туташуу менен иштеп жаткан туннелдин тизмени кандай көрөрүн салыштырыңыз.
Кайтаруу эч качан иштеп жаткан туннелге кирип, сессияны жок кылбайт. Тизме сертификатты текшерүүнүн кириши болуп саналат жана TLS сессиясын ачкан башкаруу каналынын алмашуусу учурунда каралат. Ушул бир факт эки таң калууну тең түшүндүрөт: кайтарылган кардар кайра туташат, анткени тизме текшерүүчүгө эч качан жеткен эмес, ал эми бар сессия тирүү калат, анткени эч ким эч нерсени кайра текшерген жок.
Тизме — кириш, аракет эмес
Сессия түзүлгөндө сервер кардардын сертификатын өзүнүн ишеним анкерлерине каршы текшерет, ал эми кайтаруу директивасы бул чечимге тизме издөөнү кошот. Текшерүү серверде жүрөт, ошондуктан кардар өз сертификатынын кайтарылганын көрө албайт жана ошол эле сертификатты сунуштай берет. Ошондуктан дагы эле туташкан профиль кайсы бир текшерүүчү чынжырды кабыл алганын гана далилдейт, кайтаруу ишке ашпаганын эмес.
Тизменин өзү — чыгарылган күнү жана кийинки жаңыртуу күнү бар кол коюлган объект. Байланышы жок тизме, башка орган кол койгон тизме же кийинки жаңыртуу күнү өтүп кеткен тизме учурдагынын ордун баспайт, ал эми эскирген тизме четке кабылабы же үнсүз кабыл алынабы, жайгаштырууга байланыштуу.
Жаңы туташуу жана иштеп жаткан сессия
Кайтаруу сессия түзүлгөндө же кайра сүйлөшүлгөндө бааланат, ар бир пакетте маалымат каналына каршы эмес. Мурун туташкан кардар трафик ачкычтарын кармайт, ошондуктан сертификаты тизмеде пайда болгондон кийин да пакеттерди өткөрө берет. Демейки кайра сүйлөшүү аралыгы саат менен өлчөнөт, ошондуктан жаңыртылган тизме жаңы келгендер үчүн күчүнө кириши мүмкүн, иштеп жаткан туннел болсо калат.
| Situation | What the list does | When it applies |
|---|---|---|
| Fresh connection | Blocks the handshake | At verification, immediately |
| Renegotiation | Blocks the new exchange | At the next renegotiation interval |
| Established data channel | Nothing | Until the session ends |
Дароо аткаруу тизменин өзүнөн эмес, атайын жасалган аракеттен талап кылат. Кызматты кайра баштоо ар бир кардарды кайра туташууга мажбурлайт, ал эми башкаруу интерфейси аркылуу бир сессияны токтотуу калгандарына тийбейт. Ар бир окуя үчүн бирөөнү тандап, кайсынысын колдонгонуңузду жазып коюңуз. Эки варианттын таасир радиусу ар башка, жана чыныгы чечим ушул.
Текшерүүчү чындап окуган файлды жеткириңиз
Тизме органдын жазуусунан түзүлүп, анан сертификаттарды текшерген ар бир машинага көчүрүлүшү керек. Аны CA хостунда түзүп, серверге эч качан орнотпоо — эң көп кезиккен бузулуу, жана ал бузулган кайтаруу функциясына окшош.
ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pemФайлдын чындап окулушун эки деталь чечет. Салыштырмалуу жол конфигурация каталогуна карата чечилет, ошондуктан оператордун үй каталогунда калтырылган көчүрмө эч качан табылбашы мүмкүн. Ал эми демон адатта башталгандан кийин артыкчылыктардан баш тартат, ошондуктан аткаруу эсебине ар бир ата-каталогдо издөө уруксаты жана файлга окуу уруксаты керек. Экөөнү тең root менен эмес, аткаруу эсеби менен текшериңиз, болбосо тест туура эмес нерсени далилдейт.
systemd хосттарында катууланган unit жолду да жашыра алат, окууга гана арналган көрүнүш же корголгон системалык каталог менен. Кызматтын ичинен аны жок файлдан айырмалоо мүмкүн эмес, ошондуктан уруксат катасын издегенге чейин unit чектөөлөрүн текшериңиз. Файлдын режимин күнөөлөөдөн мурун unit файлын окуңуз.
Серверде ырастаңыз, кардарда эмес
Сервер журналы эмне болгонун атайт: тизмени ачуу, аны жүктөө же кайтарылган сериялык номери менен текшерүүнүн ишке ашпашы. Кардар жалпы кол алышуу бузулушун гана билдирет, ошондуктан кайтаруу чечимин издөө үчүн кардар журналдары начар жер.
Кайтарылган профилден жаңы аракет менен текшерип, анан токтоңуз. Ошол профилден ийгиликтүү туташуу файлдын жолун жана аткаруу эсебин кароого белги, тизме туура эмес болгон деп божомолдоого эмес. Ошол ийгиликтүү аракетти кабыл алуу тести катары сактаңыз жана өзүңүз байкабаган кайра туташууну эсептебеңиз.
Эч нерсени кайтарбаган нерсе
Профилди ноутбуктан жок кылуу, сертификат файлын кардардан алып салуу же колдонуучуга туташууну токтотууну айтуу серверде эч нерсени өзгөртпөйт. Сертификат орган кайтарууну каттап, текшерүүчү алынган тизмени окуганга чейин жарактуу бойдон калат.
Ошондуктан чынжырды жазып коюуга татыктуу: кайтарууну каттаңыз, тизмени түзүп кол коюңуз, так ошол файлды таратыңыз жана кызмат эсеби аны окуй аларын ырастаңыз. Ар бир муун кыска, ал эми кандайдыр бир жок муун кайтарылган кардарды кубаныч менен туташууда калтырат. Төрт саптан турган текшерүү тизмеси бир да сабы жок божомолдон артык.