Atsaukts klients joprojām piesakās: saraksts tā arī neieradās

Atsaukšana nekad neiekļūst darbojošā tunelī, lai dzēstu sesiju. Saraksts ir sertifikāta pārbaudes ievade un tiek lasīts vadības kanāla apmaiņas laikā, kas sāk TLS sesiju. Šis viens fakts izskaidro abus pārsteigumus: atsaukts klients atkal piesakās, jo saraksts tā arī nenonāca līdz pārbaudītājam, un esošā sesija izdzīvo, jo neviens neko atkārtoti nepārbaudīja.

Saraksts ir ievade, nevis darbība

Sesijas izveides laikā serveris pārbauda klienta sertifikātu pret saviem uzticības enkuriem, un atsaukšanas direktīva šim lēmumam pievieno saraksta meklēšanu. Pārbaude notiek serverī, tāpēc klients nevar redzēt, ka tā sertifikāts ir atsaukts, un turpina piedāvāt to pašu. Tāpēc profils, kas joprojām piesakās, pierāda tikai to, ka kāds pārbaudītājs ir pieņēmis ķēdi, nevis to, ka atsaukšana ir neizdevusies.

Pats saraksts ir parakstīts objekts ar izdošanas datumu un nākamā atjauninājuma datumu. Nesaistīts saraksts, citas iestādes parakstīts saraksts vai tāds, kura nākamais atjauninājums jau pagājis, neaizstāj pašreizējo, un tas, vai novecojis saraksts tiek noraidīts vai klusi pieņemts, ir atkarīgs no izvietošanas.

Jauns savienojums pret darbojošos sesiju

Atsaukšana tiek izvērtēta, kad sesija tiek izveidota vai pārrunāta no jauna, nevis pret datu kanālu katrā paketē. Klients, kas jau ir pieslēgts, tur datu plūsmas atslēgas, tāpēc tas turpina laist paketes cauri arī pēc tam, kad tā sertifikāts parādās sarakstā. Noklusējuma pārrunāšanas intervāls tiek mērīts stundās, tāpēc atjaunināts saraksts var stāties spēkā jaunajiem, kamēr darbojošs tunelis paliek.

Tūlītēja izpilde prasa apzinātu darbību, nevis tikai sarakstu. Pakalpojuma restartēšana piespiež katru klientu pieslēgties no jauna, bet vienas sesijas pārtraukšana caur pārvaldības saskarni atstāj pārējās neskartas. Izvēlieties vienu katram gadījumam un pierakstiet, kuru izmantojāt. Abām iespējām ir atšķirīgs ietekmes diapazons, un tas ir īstais lēmums.

Piegādājiet failu, ko pārbaudītājs patiešām lasa

Saraksts jāģenerē no iestādes ieraksta un pēc tam jākopē uz katru iekārtu, kas pārbauda sertifikātus. Ģenerēt to CA resursdatorā un nekad neinstalēt serverī ir visbiežākā kļūme, un tā izskatās tieši kā salauzta atsaukšanas funkcija.

ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pem

Par to, vai fails tiešām tiek lasīts, izšķir divas detaļas. Relatīvs ceļš tiek atrisināts attiecībā pret konfigurācijas direktoriju, tāpēc operatora mājas direktorijā atstāta kopija var nekad netikt atrasta. Un dēmons parasti pēc starta atsakās no privilēģijām, tāpēc izpildes kontam ir vajadzīgas meklēšanas tiesības katrā vecākdirektorijā un lasīšanas tiesības failā. Pārbaudiet abus ar izpildes kontu, nevis ar root, citādi tests pierāda nepareizo lietu.

systemd resursdatoros norūdīta vienība var arī paslēpt ceļu, ar tikai lasāmu skatu vai aizsargātu sistēmas direktoriju. No pakalpojuma iekšpuses to nevar atšķirt no trūkstoša faila, tāpēc pārbaudiet vienības ierobežojumus, pirms doties meklēt atļauju kļūdu. Izlasiet vienības failu, pirms vainot faila režīmu.

Apstipriniet serverī, nevis klientā

Servera žurnāls nosauc, kas notika: saraksta atvēršana, tā ielāde vai pārbaudes neizdošanās ar atsaukto sērijas numuru. Klients ziņo tikai par vispārēju rokasspiediena kļūmi, tāpēc klienta žurnāli ir slikta vieta, kur meklēt atsaukšanas lēmumu.

Pārbaudiet ar svaigu mēģinājumu no atsauktā profila un tad apstājieties. Veiksmīgs savienojums no šī profila ir signāls pārbaudīt faila ceļu un izpildes kontu, nevis pieņemt, ka saraksts bija nepareizs. Saglabājiet šo veiksmīgo mēģinājumu kā pieņemšanas testu un neskaitiet atkārtotu pieslēgšanos, kuru neesat novērojis.

Kas neko neatsauc

Profila dzēšana no klēpjdatora, sertifikāta faila noņemšana no klienta vai lietotājam teiktais pārtraukt pieslēgšanos neko nemaina serverī. Sertifikāts paliek derīgs, līdz iestāde reģistrē atsaukšanu un pārbaudītājs nolasa iegūto sarakstu.

Tāpēc ir vērts pierakstīt ķēdi: reģistrējiet atsaukšanu, ģenerējiet un parakstiet sarakstu, izplatiet tieši šo failu un apstipriniet, ka pakalpojuma konts to var nolasīt. Katrs posms ir īss, un jebkurš trūkstošs posms atstāj atsauktu klientu priecīgi pieslēdzamies. Četru rindu kontrolsaraksts pārspēj pieņēmumu bez nevienas rindas.