Een OpenVPN-Client aussetzen, ouni säin Zertifikat ze widerrufen

Wann e Laptop eng Woch op de Reparaturdësch kënnt, ass de gewéinlechen Instinkt säin Zertifikat aus der CA ze entfernen. Dee Rekord ass de Register vum Aussteller, net en temporäre Zougangsschalter. OpenVPN huet schonn e Mechanismus pro Client fir eng Verbindung ofzeleeën, an en ze benotze behält d'Historie vun der CA intakt. Déi zwou Kontrollen äntweren op verschidde Froe, an se ze vermëschen schaaft Aarbecht, wann d'Apparat zréckkënnt.

Zwee Rekorden, zwou verschidde Aarbechten

D'Datebank vun der CA registréiert wat den Aussteller ënnerschriwwen huet a wat en duerno widerrufen huet. Si gëtt vun de Widderruff-Prozesser a vun allem befrot, wat d'CRL oder seng eege Kopie vum Register liest. Eng Zougangsregel lieft um Server a gëllt fir d'Verbindungen, déi dee Server unhëlt.

En Ausstellungsrekord läschen widerrufe kee Zertifikat op zouverlässeg Manéier, an et beschiedegt d'Historie, vun där de spéidere Widderruff oder Audit ofhänkt. D'Kontroll op der Serversäit ass méi enk an ëmkehrbar. Schreift den Ënnerscheed an d'Ännerungsnotiz, sou datt déi nächst Persoun net no engem Widderruff sicht, deen et ni gouf.

Setzt d'Deaktivéierungsdirektiv an déi richteg Datei

Fir e Gemeinschaftsserver, dee clientspezifesch Konfiguratioun benotzt, refuséiert déi dokumentéiert disable-Direktiv ee gewielte Client. Se gehéiert an d'Datei vun deem Client ënner der aktiver client-config-dir, net an d'Haaptkonfiguratioun vum Server. Bestätegt de Verzeechnes, deen den Dämon, deen leeft, tatsächlech benotzt, a bestätegt duerno d'Identitéit, déi d'Datei auswielt. Eng Datei, déi no deem falschen allgemengen Numm benannt ass, gesäit richteg aus an gëtt ni gelies.

disable

D'Mapping-Wahlen zielen hei. Optiounen wéi username-as-common-name änneren, wéi eng Identitéit d'Recherche benotzt, sou datt eng Datei, déi nom Sujet vum Zertifikat benannt ass, vläicht net déi ass, déi ugewannt gëtt. Liest d'OpenVPN-Referenz fir déi installéiert Versioun, amplaz unzehuelen, datt eng Direktiv an all Kontext gëlteg ass.

Trennt den neien Zougang vun den aktive Sitzungen

De nächsten Handshake ofzeleeën mécht keen Tunnel, deen schonns steet, fäerdeg. Wann d'Apparat elo muss getrennt ginn, benotzt zousätzlech dee vum Server autoriséierte Sitzungsverwaltungswee fir genau déi Sitzung. Soss kann de Client weider schaffen, bis en sech selwer erëm verbënnt, an de Laptopdeckel zouzemaachen oder de Client ze verloossen ass eng Aktioun op der Clientsäit, déi dir näischt iwwer de Server seet.

Verifizéiert déi zwou Resultater: déi aktiv Sitzung hält op, wéini dir wëllt, an en neien Handshake gëtt verweigert. Eng zougemaachte Clientfënster beweist näischt iwwer d'Politik vum Server.

Wann d'Bereitstellung kee ënnerstëtzte Wee huet, eng aktiv Sitzung ze beenden, dann notéiert déi Lück, amplaz eng ze improviséieren. En blockéierte Port um Client ass net datselwecht wéi eng Politik op der Serversäit.

Paus a Kompromittéierung sinn ënnerschiddlech Evenementer

En verluerenen oder geklautene Schlëssel ass en Evenement vum Widderruff, an eng lokal Zougangspaus ersetzt en net. Aner Server, déi op déiselwecht CA vertrauen, deelen dës clientspezifesch Regel vun dësem Server net. Follegt dem Widderruff- a Ersatzprozess vum Aussteller a behält d'Datebank vun der CA als autoritativ Rekord. Eng temporär Paus brauch dogéint e dokumentéierte Grond an en restauréierende Schrëtt.

Wann den Zougang restauréiert ass, huelt d'Restriktioun iwwer de Komponent ewech, deem se gehéiert, a bestätegt, datt eng nei Verbindung geléngt. Notéiert och de Wee vun der disable-Zeil, well eng spéider Konfiguratiounssynchronisatioun se stëll ka zrécksetzen. Hält d'Paus, hire Besëtzer an den Datum an den Notizen zur Bereitstellung, sou datt den nächsten Administrateur Méint méi spéit keng onerkläert disable-Zeil fënnt.