Een OpenVPN-Client pauséieren: firwat d'Zeréckzéien de falsche Grëff ass

D'Zougrëff vun engem Client pauséieren an en fir ëmmer ewechhuelen gesinn aus wéi déi selwecht Aufgab, bis een ee vun deenen zwee versicht z'änneren. Den Zertifikat zereckzezéien schreift en Aschreiwung, deen den Här als definitiv behandelt, an en zereckzedréien heescht d'Datebank vum Aussteller vun Hand ze änneren. Den aktiven Tunnel fale loossen ass eng Verwaltungsurschreiwung, déi am Vertrauen näischt ännert. Wielt de Grëff andeems Dir frot, ob de Schlëssel nach vertrauenswierdeg ass, an net andeems Dir frot, wéi dréngend d'Demande schéngt.

De Glawen: zereckgezunn a suspendéiert ass dat selwecht

Engem Uleiwwernehmer gëtt eng Woch pauséiert an de Reflex ass zereckzezéien, well zereckzezéien kléngt wéi een eppes ausschalt. Et gesäit propper aus, et dauert zéng Sekonnen, an et léisst eng Datebankännerung als eenzege Wee zereck. De Reflex ass verständlech an en ass méi no beim Verbrenne vun engem Pass wéi beim Zoumaache vun enger Dier. En suspendéierten Apparat an e kompromittéierte Schlëssel brauche verschidde Behandlung, an nëmmen ee vun deenen zwee ass bëlleg z'änneren.

Den Ënnerscheed ass beim Zertifikat an net bei der Persoun. E Schlëssel, deen nach an de richtege Hänn ass, kann ouni Verloscht vum Vertrauen pauséiert a weidergefouert ginn. E Schlëssel, deen eventuell kopéiert gouf, soll ni restauréiert ginn, well d'Restauratioun behaapt, datt d'Kopie net existéiert.

Schreift d'Äntwert op, ier Dir eng vun deenen zwou Systemer beréiert. Wann Dir net ka sot, ob de Schlëssel exponéiert ass, ass déi konservativ Äntwert d'Auswiesselung.

Fällt déi aktiv Sessioun iwwer d'Verwaltungsschnittstell

OpenVPN bitt eng Verwaltungsschnittstell, déi Sessiounen oplëschte kann an eng dovun iwwer den gemeinsamen Numm ëmbrénge kann. Aktivéiert se op localhost, haalt se wäit vun der ëffentlecher Schnittstell, an schéckt d'Ëmbréngungsurschreiwung, wann eng Sessioun direkt verschwannen muss. D'Uurschreiwung schléisst nëmmen deen Tunnel, an all anere Client schafft weider.

Dëst ass eng Äntwert op e aktive Problem, keng Suspensiounspolitik. Datselwecht Profil kann an enger Minutt erëm verbannen, well sech um Zertifikat näischt geännert huet. Benotzt se, wann d'Sessioun musse fortgoen an d'dauerhaft Entscheedung nach getraff gëtt.

Bestätegt, datt d'Sessioun verbonne war, ier Dir se ëmbréngt, sou datt Dir keen Client jagt, deen ni verbonne war. D'Statusurschreiwung hei drënner dréckt aus, wat de Moment verbonnen ass.

printf 'status 2\nquit\n' | nc 127.0.0.1 7506
printf 'kill kiosk-14\nquit\n' | nc 127.0.0.1 7506

Wann d'Ëmbréngen mellt, datt et keen esou Client gëtt, dann ass den gemeinsamen Numm am Zertifikat net de String, deen Dir getippt hutt. Liest d'Statusausgab amplaz vum Numm vun der Profilsdatei.

Wat d'CRL tatsächlech kontrolléiert

Den Här consultéiert kee Zereckzéiungsfändel, deen um Zertifikat gespäichert ass. Hien liest d'Lëscht vun de zereckgezunnene Zertifikater, déi an crl-verify genannt gëtt, bei all neier Verbindung, an hëlt en Zertifikat of, deem seng Seriennummer op där Lëscht steet. Doraus follegen zwou Konsequenzen, an zwou si operationell wichteg. D'Datei muss vum Kont liesbar sinn, op deen den Här seng Rechter ofgëtt, an e Client, deen nach verbonnen ass, leeft weider bis en sech erëm verbënnt.

Déi zweet Konsequenz iwwerrascht d'Leit bei Tëschefäll. Den Zertifikat zereckzezéien schléisst den Tunnel net, deen en de Moment benotzt. Paart d'Zereckzéien mat engem Verwaltungs-Ëmbréngen, wann d'Sessioun direkt ophalen muss, an behandelt déi zwou Aktiounen als getrennte Schrëtt am Handbuch.

Inspectéiert d'Lëscht, fir ze gesinn, wat den Här wierklech duerchsetzt, amplaz dem Zäitstempel vun der läschter kopéierter Datei ze vertrauen. D'Zuel vun de Seriennummere ass deen Deel, deen zielt.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | sed -n '1,14p'
ls -l /etc/openvpn/server/crl.pem

Eng Lëscht ouni Aschreiwungen an eng Lëscht mat de richte gen Aschreiwungen gesinn an engem Verzeechnislisting gläich aus, dofir ass et derwäert d'Zuel vun de Seriennummere auszedrécken. D'Permissiounslinn ass just esou wichteg, well eng Datei, déi den Daemon net liese kann, e Fehler produzéiert, deen ausgesäit wéi en ofgeleenten Client.

Eng Aschreiwung restauréieren, virsiichteg

En Zertifikat restauréieren heescht eng Aschreiwung an der Ausstellungsdatebank ëmzedréien an eng nei Lëscht ze publizéieren. easy-rsa 3 hält déi Datebank als index.txt ënner dem PKI-Verzeechnis, während eeler Anordnunge mat enger anerer Struktur geschafft hunn. Eng Zeil fänkt mat engem Statusbuschtaf an engem Ofscheiddatum un. Eng zereckgezunn Zeil setzt en Zäitstempel fir d'Zereckzéien eran, ier se mat der Seriennummer, dem Dateinumm vum Zertifikat an dem Ënnerscheedungsnumm weidergeet. Eng Zeil zereckzesetzen heescht deen Zäitstempel ze läschen an de Buschtaf ëmzedréien, an alles anert a Rou ze loossen.

Maacht fir d'éischt eng Sécherheetskopie vun der Datei, a setzt d'Ännerung als Skript ëm, amplaz an en Texteditor ze tippen. En Tippfehler, deen ännert, wéi vill Felder eng Zeil dréit, brécht d'Ausstelle fir all Zertifikat, dat duerno derbäikënnt. Dat ass de Grond, d'Ännerung ze automatiséieren an d'Datei ze kopéieren, ier Dir se beréiert.

En zweeten Zereckzéie vum selwechten Numm feelt och oft, well deen éischte Laf deen Zertifikat an de Schlëssel dovun aus de Verzeechnissen erausgeholl huet, an deenen den Instrument se erwaart. D'Instrument fënnt dann net, wat et soll zereckzezéien, an d'Fehlermeldung erkläert net ëmmer kloer, firwat.

cp /etc/easy-rsa/pki/index.txt /root/index.txt.$(date +%F-%H%M)
grep -c '^R' /etc/easy-rsa/pki/index.txt
easyrsa gen-crl

Publizéiert déi nei Lëscht, korrigéiert hiert Eigentum, a bréngt den Här dozou, se ze liesen. En Neiliess ass op de meeschte Installatiounen genuch, awer d'Bestätegung muss vun enger neier Verbindung kommen, well déi bestoend Sessioun ni eppes nachgepréift huet.

Kuckt no, wéi ee Grëff de Fall verdéngt

Stellt déi eng Fro, déi dat ganzt Handbuch entscheet: ass de privaten Schlëssel nach just do, wou en hi gehéiert. Wann jo, da deckt d'Ëmbrénge vun der Sessioun plus eng dokumentéiert Paus de Fall of an hannerléisst keen dauerhaften Aschreiwung. Wann nee, dann ass déi eenzeg sécher Äntwert en neie Schlëssel, wärend den ale Zertifikat zereckgezunn bleift.

Iwwerpréift duerno d'Resultat mat engem Verbindungsversuch an net mat engem Konfiguratiounsënnerscheed. Den Ënnerscheed seet Iech, wat Dir virhat hatt, an d'Verbindung seet Iech, wat den Här duerchsetzt.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | grep -c 'Serial Number'
printf 'status 2\nquit\n' | nc 127.0.0.1 7506

Wann e restauréierte Client sech verbënnt an an der Statusausgab erschéngt, huet d'Ännerung vun der Aschreiwung funktionéiert. Wann en zereckgezunne Client ofgeleent gëtt an den Log d'CRL nennt, huet d'Zereckzéien funktionéiert. Alles dozwëschen ass e Permissiouns- oder Neiliessproblem, an et ass derwäert, dat ze fixe, ier déi nächst Demande kënnt.