Суспендирајте еден OpenVPN клиент без отповикување на неговиот сертификат

Кога преносен компјутер оди на маса за поправка една недела, вообичаениот инстинкт е да се отстрани неговиот сертификат од CA. Тој запис е регистарот на издавачот, а не привремен прекинувач за пристап. OpenVPN веќе има механизам по клиент за одбивање на врска, и неговото користење ја чува историјата на CA непроменета. Двете контроли одговараат на различни прашања, а нивното мешање создава работа кога уредот ќе се врати.

Два записи, две различни задачи

Базата на податоци на CA запишува што потпишал издавачот и што подоцна отповикал. Неа ја прашуваат постапките за отповикување и сѐ што ја чита CRL или сопствената копија од регистарот. Правилото за пристап живее на серверот и се применува на врските што тој сервер ги прифаќа.

Бришењето на запис за издавање не отповикува сертификат сигурно и ја оштетува историјата од која зависат подоцнежното отповикување или ревизијата. Контролата на страната на серверот е потесна и повратна. Запишете ја разликата во белешката за промена, за да не бара следната личност отповикување што никогаш не се случило.

Ставете ја директивата за оневозможување во вистинската датотека

За сервер на заедницата што користи конфигурација специфична за клиент, документираната директива disable одбива еден избран клиент. Таа припаѓа во датотеката на тој клиент под активниот client-config-dir, а не во главната конфигурација на серверот. Потврдете го директориумот што демонот што работи навистина го користи, потоа потврдете го идентитетот што ја избира датотеката. Датотека именувана по погрешното заедничко име изгледа исправно и никогаш не се чита.

disable

Изборите за мапирање се важни овде. Опции како username-as-common-name менуваат кој идентитет го користи пребарувањето, така што датотеката именувана по субјектот на сертификатот може да не е онаа што се применува. Прочитајте го упатството за OpenVPN за инсталираната верзија, наместо да претпоставите дека директивата е важечка во секој контекст.

Одвојте го новиот пристап од активните сесии

Одбивањето на следното ракување не завршува тунел што е веќе кренат. Ако уредот мора да се исклучи сега, користете го и овластениот пат за управување со сесии на серверот за таа конкретна сесија. Инаку клиентот може да продолжи да работи додека сам не се поврзе повторно, а затворањето на капакот на преносниот компјутер или излегувањето од клиентот е дејство на страната на клиентот што не ви кажува ништо за серверот.

Проверете ги двата исходи: активната сесија запира кога сакате, и ново ракување се одбива. Затворен прозорец на клиентот не докажува ништо за политиката на серверот.

Ако распоредувањето нема поддржан начин да заврши активна сесија, запишете го тој недостаток наместо да измислувате еден. Блокиран порт на клиентот не е исто како политика на страната на серверот.

Пауза и компромитација се различни настани

Изгубен или украден клуч е настан на отповикување, и локалната пауза на пристап не го заменува. Други сервери што и веруваат на истата CA нема да го делат ова правило специфично за клиентот. Следете ја постапката за отповикување и замена на издавачот и чувајте ја базата на податоци на CA како авторитетен запис. Привремената пауза, пак, бара документирана причина и чекор за враќање.

Кога пристапот е вратен, отстранете го ограничувањето преку компонентата што го поседува и потврдете дека нова врска успева. Запишете ја и патеката до линијата disable, бидејќи подоцнежна синхронизација на конфигурацијата може тивко да ја врати. Чувајте ја паузата, нејзиниот сопственик и датумот во белешките за распоредување, за да не најде следниот администратор по месеци необјаснета линија disable.