Pristabdyti vieną OpenVPN klientą neatšaukiant jo sertifikato

Kai nešiojamasis kompiuteris savaitei patenka ant remonto stalo, įprastas instinktas yra pašalinti jo sertifikatą iš CA. Tas įrašas yra išdavėjo registras, o ne laikinas prieigos jungiklis. OpenVPN jau turi kiekvieno kliento mechanizmą ryšiui atmesti, ir jo naudojimas išsaugo CA istoriją nepakitusią. Du valdikliai atsako į skirtingus klausimus, o jų maišymas sukuria darbo, kai įrenginys grįžta.

Du įrašai, du skirtingi darbai

CA duomenų bazė registruoja, ką išdavėjas pasirašė ir ką vėliau atšaukė. Į ją kreipiasi atšaukimo procesai ir viskas, kas skaito CRL ar savo registro kopiją. Priėmimo taisyklė gyvena serveryje ir taikoma ryšiams, kuriuos tas serveris priima.

Išdavimo įrašo ištrynimas patikimai neatšaukia sertifikato ir sugadina istoriją, nuo kurios priklauso vėlesnis atšaukimas ar auditas. Serverio pusės valdymas yra siauresnis ir grįžtamas. Įrašykite skirtumą į pakeitimo pastabą, kad kitas žmogus neieškotų atšaukimo, kurio niekada nebuvo.

Įdėkite išjungimo direktyvą į tinkamą failą

Bendruomenės serveriui, kuris naudoja klientui specifinę konfigūraciją, dokumentuota disable direktyva atmeta vieną pasirinktą klientą. Ji priklauso to kliento faile po aktyvia client-config-dir, o ne pagrindinėje serverio konfigūracijoje. Patvirtinkite katalogą, kurį veikiantis demonas iš tikrųjų naudoja, tada patvirtinkite tapatybę, kuri parenka failą. Failas, pavadintas neteisingu bendriniu vardu, atrodo teisingai ir niekada nėra skaitomas.

disable

Susiejimo pasirinkimai čia svarbūs. Tokios parinktys kaip username-as-common-name keičia, kokią tapatybę naudoja paieška, todėl failas, pavadintas sertifikato subjekto vardu, gali būti ne tas, kuris taikomas. Skaitykite įdiegtos versijos OpenVPN žinyną, o ne manykite, kad direktyva galioja visame kontekste.

Atskirkite naują priėmimą nuo aktyvių sesijų

Kito rankos paspaudimo atmetimas neužbaigia tunelio, kuris jau pakeltas. Jei įrenginį reikia atjungti dabar, naudokite ir serverio leidžiamą sesijų valdymo kelią tai konkrečiai sesijai. Priešingu atveju klientas gali toliau dirbti, kol pats prisijungs iš naujo, o nešiojamojo kompiuterio dangčio uždarymas ar išėjimas iš kliento yra veiksmas kliento pusėje, kuris nieko nepasako apie serverį.

Patikrinkite abu rezultatus: aktyvi sesija sustoja, kai to norite, ir naujas rankos paspaudimas atmetamas. Uždarytas kliento langas nieko neįrodo apie serverio politiką.

Jei diegimas neturi palaikomo būdo užbaigti aktyvią sesiją, užregistruokite šią spragą, o ne improvizuokite. Užblokuotas prievadas kliente nėra tas pats, kas serverio pusės politika.

Pauzė ir kompromitacija yra skirtingi įvykiai

Pamestas ar pavogtas raktas yra atšaukimo įvykis, o vietinė prieigos pauzė jo nepakeičia. Kiti serveriai, pasitikintys ta pačia CA, nesidalins šia šio serverio klientui specifine taisykle. Vykdykite išdavėjo atšaukimo ir pakeitimo procesą ir laikykite CA duomenų bazę autoritetingu įrašu. Laikina pauzė, priešingai, reikalauja dokumentuotos priežasties ir atkūrimo žingsnio.

Kai prieiga atkurta, pašalinkite apribojimą per komponentą, kuris jį valdo, ir patvirtinkite, kad naujas ryšys pavyksta. Užregistruokite ir disable eilutės kelią, nes vėlesnė konfigūracijos sinchronizacija gali ją tyliai grąžinti. Laikykite pauzę, jos savininką ir datą diegimo pastabose, kad kitas administratorius po mėnesių nerastų nepaaiškinamos disable eilutės.