Кайтарылып алынган VPN сертификаты дагы эле туташабы? CRL колдонулушун текшериңиз

Сертификатты кайтарып алдыңыз, жаңы тизме түздүңүз, бирок эски профиль дагы эле туннель көтөрөт. Кайтарып алуунун өзү бузулган эмес: CRL — сериялык номур мындан ары жараксыз экендиги тууралуу кол коюлган билдирүү, жана ал кабыл алуу чечимин кабыл алардан мурун, туура эмитент үчүн, TLS-ти бүтүргөн компонент аны жүктөгөндө гана кирүүнү өзгөртөт. Ушундай учурлардын көбү дал ушунда жатат, ошондуктан кайтарып алуу менен баш тартуу эки башка факт.

Төмөнкү беш текшерүүдөн тартиби менен өтүңүз жана биринчи аткарылбаган жерде токтоңуз, анткени ар бир кийинки текшерүү мурункуларынын туура экенин болжолдойт.

Кабыл алуу чечимин кайсы компонент кабыл аларын текшериңиз

Клиент сертификатын текшерүүчү процессти атаңыз, анткени тизмени ушул процесс гана колдоно алат. OpenVPN серверинде бул crl-verify менен конфигурацияланган демондун өзү. ocservде бул ocserv.conf ичиндеги crl сабы. strongSwanда кирүүлөр — жүктөлгөн CRLдар жана strictcrlpolicy. VPNдын алдында TLS-ти бүтүргөн прокси же түзмөк дагы чыныгы текшерүүчү болушу мүмкүн, ал эми эгер ошондой болсо, анын артындагы демон клиент сертификатын эч качан көрбөйт.

WireGuard башка категорияга кирет. Анда сертификаттар да, кайтарып алуу тизмеси да жок; peer конфигурациядагы өзүнүн ачык ачкычы аркылуу киргизилет, ошондуктан кирүүнү токтотуу ошол ачкычты жок кылууну билдирет. Эгерде WireGuard гана колдонулган орнотууда CRL издесеңиз, андай механизм жок.

Клиент тарабындагы тузакка да көңүл буруңуз. Сервердин сертификаты жакпагандыктан туташуудан баш тарткан клиент сервердин чынжырын колдонот, өз каттоо маалыматтарын кайтарып албайт. Колдонуучу сертификаты сертификат текшерилген жерде гана кайтарылып алынат, ал эми бул дээрлик ар дайым сервер тарабы.

Тизме кайсы эмитент үчүн кол коюлганын текшериңиз

CRL бир эмитенттик CA менен чектелген. Тамыр жана орто CA болсо, жалбырак сертификаттар ортодон келет, ошондуктан маанилүү тизме — ортонун CRLы; тамырдын тизмеси бул жалбырактар жөнүндө эч нерсе айтпайт. Туура эмес файлга багытталган текшерүүчү аны шаттанып талдайт, дал келген жазууну таппайт жана баарын кабыл алат.

Демонду кармаардан мурун шайкештикти ырастаңыз. Сертификаттагы эмитент тизменин subjectине дал келиши керек:

openssl x509 -in client.crt -noout -issuer -serial
openssl crl  -in intermediate.crl -noout -issuer -lastupdate -nextupdate

Экөө тең бир CAдан болсо, сертификат үчүн басылган сериялык номур тизмеде пайда болушу керек болгон маани. Эгерде алар дал келбесе, сизде туура эмес CRL же анын туура эмес көчүрмөсү бар.

Жарактуулук ошол эле текшерүүгө таандык. Өткөн убакыттагы nextUpdate тизмени эскиртет, ал эми жабык түрдө ийгиликсиз болгон текшерүүчү анда кайтарылып алынганды гана эмес, бардык клиентти четке кагат.

Сериялык номур демон жүктөгөн көчүрмөдө бар-жогун текшериңиз

Кайтарып алуу CA маалымат базасына жазуу жазат, ал эми кайра жаратуу жаңы файл жазат. Эки аракеттин эч бири ишке кирүүдө эски көчүрмөнү жүктөгөн иштеп турган демонго жетпейт. Тизмени чыгарып, сериялык номурду издеңиз:

openssl crl -in intermediate.crl -noout -text | grep -i -A2 'Serial Number'
openssl ca -revoke client.crt
openssl ca -gencrl -out intermediate.crl

Андан кийин ишке ашырууңуз файлды кантип кабыл аларын текшериңиз. OpenVPN crl-verify берилген жолду ишке кирүүдө бир жолу окуйт, ошондуктан жаңы тизме кайра ишке кирүүнү же кайра ишке кирүү сигналын талап кылат; каталогго багытталган ошол эле опция ар бир туташууда кайра окулат, ошондуктан каталог режими бар. strongSwan өз каттоо маалыматтарын кайра жүктөөсү керек, мисалы swanctl --load-creds аркылуу. Дисктеги файлдын туура болушу жана текшерүүчүнүн аны колдонушу — эки башка факт.

Жок же мөөнөтү өткөн тизме үчүн саясатты текшериңиз

Бул — көптөгөн орнотуулар эч качан ачык кабыл албаган чечим, жана ал кайтарып алуу сизди коргойбу же баарын сыртта кулпулайбы аныктайт. Fail-closed жарактуу кайтарып алуу маалыматы болбосо баш тартуу болорун билдирет; fail-open текшерүүчүнүн ансыз улангандыгын билдирет. strongSwan тандоону strictcrlpolicy катары сунуштайт. OpenVPN crl-verify менен окууга же талдоого болбой турган файлдан ишке кирүүдөн баш тартат, ал эми мөөнөтү өткөн тизме үнсүз кабыл алуу эмес, мөөнөтү өткөн CRL тууралуу TLS текшерүү катасы катары көрүнөт.

Кайсы багытты тандасаңыз да, автоматташтыруу тандоодон маанилүүрөөк: CRLды nextUpdate чейин кайра жараткан тапшырма жана орнотулган көчүрмө эскиргендеги эскертүү эки саясаттын тең окуяга айланышына жол бербейт. OCSP аркылуу онлайн текшерүү жаңылыкты жооп берүүчүгө которот, бирок ошол эле эреже колдонулат, анткени жоопту текшерүүгө конфигурацияланбаган текшерүүчү эч нерсени өзгөртпөйт.

Активдүү сеансты, андан кийин ачкычтын көчүрмөлөрүн текшериңиз

Кайтарып алуу сертификатты текшерүү учурунда бааланат, ал туташуу жана кайра сүйлөшүү учурунда болот. Орнотулган сеанс кайра сүйлөшүүгө чейин уланат, ал эми OpenVPNдин демейки мааниси reneg-sec 3600 менен саатына бир жолу. Эгер адам азыр тармактан чыгышы керек болсо, тизмени жарыялоо менен катар сеансты токтотуңуз, андан кийин кайра туташуунун четке кагыларын ырастаңыз.

Каттоо маалыматтарын алардын көчүрмөлөрүнөн бөлүңүз. Бир ноутбукта профилди жок кылуу ошол жабык ачкычтын башка көчүрмөсүнүн аутентификацияланышына тоскоол болбойт; кайтарып алуу ар бир көчүрмөнү пайдасыз кылат, жана бул мурунку текшерүүлөр аткарылганда гана. Кошумча түзмөккө өз сертификатын бериңиз, ошондо бирөөнү экинчисине тийбестен кайтарып алууга болот.

Аны бүттү деп эсептеэрден мурун: текшерүүчү компонент аныкталды, тизменин эмитенти жалбырактын эмитентине дал келет, кайтарылып алынган сериялык номур демон чындап жүктөгөн көчүрмөдө, жок же мөөнөтү өткөн тизмелердин саясаты атайын жана көзөмөлдөнөт, ал эми активдүү сеанс күтүүнүн ордуна токтотулду. Мунун баарынын негизиндеги форматтар RFC 5280 ичинде көрсөтүлгөн.