Apturēt vienu OpenVPN klientu, neatsaucot tā sertifikātu

Kad portatīvais dators uz nedēļu nonāk uz remonta galda, ierastais instinkts ir izņemt tā sertifikātu no CA. Šis ieraksts ir izdevēja reģistrs, nevis pagaidu piekļuves slēdzis. OpenVPN jau ir mehānisms katram klientam savienojuma atteikšanai, un tā izmantošana saglabā CA vēsturi neskartu. Abas kontroles atbild uz dažādiem jautājumiem, un to sajaukšana rada darbu, kad ierīce atgriežas.

Divi ieraksti, divi dažādi darbi

CA datubāze reģistrē, ko izdevējs parakstīja un ko vēlāk atsauca. Uz to vēršas atsaukšanas procesi un viss, kas lasa CRL vai savu reģistra kopiju. Piekļuves noteikums dzīvo serverī un attiecas uz savienojumiem, ko šis serveris pieņem.

Izdošanas ieraksta dzēšana sertifikātu droši neatsauc un bojā vēsturi, no kuras atkarīga vēlāka atsaukšana vai audits. Servera puses kontrole ir šaurāka un atgriezeniska. Ierakstiet atšķirību izmaiņu piezīmē, lai nākamā persona nemeklētu atsaukšanu, kas nekad nav notikusi.

Ievietojiet atspējošanas direktīvu pareizajā failā

Kopienas serverim, kas izmanto klientam specifisku konfigurāciju, dokumentētā disable direktīva atsaka vienu izvēlētu klientu. Tā pieder šī klienta failā aktīvajā client-config-dir, nevis servera galvenajā konfigurācijā. Pārbaudiet direktoriju, ko darbojošais dēmons faktiski izmanto, un pēc tam apstipriniet identitāti, kas izvēlas failu. Fails, kas nosaukts nepareizajā kopējā vārdā, izskatās pareizi un nekad netiek lasīts.

disable

Kartēšanas izvēles šeit ir svarīgas. Tādas opcijas kā username-as-common-name maina, kādu identitāti izmanto meklēšana, tāpēc fails, kas nosaukts pēc sertifikāta subjekta, var nebūt tas, kas tiek piemērots. Lasiet instalētās versijas OpenVPN rokasgrāmatu, nevis pieņemiet, ka direktīva ir derīga jebkurā kontekstā.

Nošķiriet jaunu piekļuvi no aktīvajām sesijām

Nākamā rokasspiediena atteikšana neizbeidz tuneli, kas jau ir uzcelts. Ja ierīce ir jāatvieno tagad, izmantojiet arī servera atļauto sesiju pārvaldības ceļu tieši šai sesijai. Citādi klients var turpināt darboties, līdz pats atkal piesakās, un portatīvā datora vāka aizvēršana vai iziešana no klienta ir darbība klienta pusē, kas par serveri neko nepasaka.

Pārbaudiet abus iznākumus: aktīvā sesija apstājas, kad to vēlaties, un jauns rokasspiediens tiek atteikts. Aizvērts klienta logs par servera politiku neko nepierāda.

Ja izvietojumam nav atbalstīta veida, kā pabeigt aktīvo sesiju, reģistrējiet šo trūkumu, nevis izdomājiet tādu. Bloķēts ports klientā nav tas pats, kas servera puses politika.

Pauze un kompromitācija ir dažādi notikumi

Pazaudēta vai nozagta atslēga ir atsaukšanas notikums, un vietēja piekļuves pauze to neaizstāj. Citi serveri, kas uzticas tai pašai CA, nedalīsies ar šo servera klientam specifisko noteikumu. Ievērojiet izdevēja atsaukšanas un aizstāšanas procesu un turiet CA datubāzi kā autoritatīvu ierakstu. Pagaidu pauze, gluži pretēji, prasa dokumentētu iemeslu un atjaunošanas soli.

Kad piekļuve ir atjaunota, noņemiet ierobežojumu ar komponentu, kuram tas pieder, un apstipriniet, ka jauns savienojums izdodas. Reģistrējiet arī disable rindas ceļu, jo vēlāka konfigurācijas sinhronizācija to var klusi atgriezt. Glabājiet pauzi, tās īpašnieku un datumu izvietošanas piezīmēs, lai nākamais administrators pēc mēnešiem neatrastu neizskaidrotu disable rindu.