Хүчингүй болсон клиент одоо ч холбогддог: жагсаалт хэзээ ч хүрээгүй
Хүчингүй болгох нь гэрчилгээний шалгалтын оролт бөгөөд сессийг дуусгах команд биш. Шинэ холболт болон ажиллаж буй туннель жагсаалтыг хэрхэн хардагийг харьцуулна уу.
Хүчингүй болгох нь ажиллаж буй туннель руу орж сессийг устгадаггүй. Жагсаалт нь гэрчилгээний шалгалтын оролт бөгөөд TLS сессийг эхлүүлэх хяналтын сувгийн солилцооны үеэр уншигдана. Энэ нэг баримт хоёр гайхшралыг тайлбарлана: хүчингүй болсон клиент дахин холбогддог, учир нь жагсаалт шалгагчид хэзээ ч хүрээгүй, харин одоо байгаа сесс амьд үлддэг, учир нь хэн ч юу ч дахин шалгаагүй.
Жагсаалт бол оролт, үйлдэл биш
Сессийг тогтоох үед сервер клиентийн гэрчилгээг өөрийн итгэлийн зангуутай тулган баталгаажуулж, хүчингүй болгох заавар тэр шийдвэрт жагсаалтын хайлт нэмнэ. Шалгалт сервер дээр явагддаг тул клиент өөрийн гэрчилгээ хүчингүй болсныг харж чадахгүй бөгөөд мөн түүнийгээ санал болгосоор байна. Тиймээс одоо ч холбогдож буй профайл нь зөвхөн ямар нэг шалгагч гинжийг хүлээн авсныг баталж, хүчингүй болгох нь бүтэлгүйтсэнгүй гэдгийг биш.
Жагсаалт нь өөрөө гаргасан огноо, дараагийн шинэчлэлтийн огноотой гарын үсэг зурсан объект юм. Хамааралгүй жагсаалт, өөр байгууллага гарын үсэг зурсан жагсаалт эсвэл дараагийн шинэчлэлтийн огноо нь өнгөрсөн жагсаалт нь одоогийн жагсаалтыг орлохгүй бөгөөд хуучирсан жагсаалтыг татгалзах эсвэл чимээгүй хүлээн авах нь байршуулалтаас хамаарна.
Шинэ холболт ба ажиллаж буй сесс
Хүчингүй болгох нь сессийг тогтоох эсвэл дахин хэлэлцэх үед үнэлэгддэг, пакет бүрт өгөгдлийн сувагтай тулгаж биш. Аль хэдийн холбогдсон клиент траффикийн түлхүүртэй байдаг тул гэрчилгээ нь жагсаалтад гарч ирсний дараа ч пакетуудыг нэвтрүүлсээр байна. Анхдагч дахин хэлэлцэх зай нь цагаар хэмжигддэг тул шинэчлэгдсэн жагсаалт шинээр ирэгсдэд хүчин төгөлдөр болж, ажиллаж буй туннель хэвээр үлддэг.
| Situation | What the list does | When it applies |
|---|---|---|
| Fresh connection | Blocks the handshake | At verification, immediately |
| Renegotiation | Blocks the new exchange | At the next renegotiation interval |
| Established data channel | Nothing | Until the session ends |
Шуурхай хэрэгжүүлэх нь зөвхөн жагсаалт биш, санаатай үйлдэл шаарддаг. Үйлчилгээг дахин эхлүүлэх нь клиент бүрийг дахин холбогдоход хүргэдэг бол удирдлагын интерфэйсээр нэг сессийг зогсоох нь бусад хэсэгт хүрэхгүй. Тохиолдол бүрт нэгийг сонгож, алийг нь ашигласнаа тэмдэглээрэй. Хоёр сонголт өөр хүрээтэй бөгөөд энэ нь жинхэнэ шийдвэр юм.
Шалгагчийн үнэхээр уншдаг файлыг хүргээрэй
Жагсаалтыг байгууллагын бүртгэлээс үүсгэж, дараа нь гэрчилгээ шалгадаг машин бүрт хуулах ёстой. Үүнийг CA хост дээр үүсгээд серверт хэзээ ч суулгахгүй байх нь хамгийн түгээмэл алдаа бөгөөд эвдэрсэн хүчингүй болгох функц шиг харагддаг.
ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pemФайлыг үнэхээр уншиж байгаа эсэхийг хоёр зүйл шийднэ. Харьцангуй зам нь тохиргооны хавтаст тулгуурлан шийдэгддэг тул операторын гэрт үлдээсэн хуулбар хэзээ ч олдохгүй байж болно. Демон нь ихэвчлэн эхэлсний дараа эрхээсээ татгалздаг тул ажиллуулах бүртгэлд эх хавтас бүрт хайх эрх, файл дээр унших эрх шаардлагатай. Хоёулыг root биш, ажиллуулах бүртгэлээр шалгаарай, эс бөгөөс шалгалт буруу зүйлийг батлах болно.
systemd хост дээр хатуужуулсан unit мөн замыг нууж болно, зөвхөн унших харагдац эсвэл хамгаалагдсан системийн хавтас ашиглан. Үйлчилгээний дотроос үүнийг алга болсон файлаас ялгах боломжгүй тул зөвшөөрлийн алдаа хайхын өмнө unit-ийн хязгаарлалтыг шалгаарай. Файлын горимыг буруутгахын өмнө unit файлыг уншаарай.
Сервер дээр батал, клиент дээр биш
Серверийн лог юу болсныг нэрлэнэ: жагсаалтыг нээх, ачаалах эсвэл хүчингүй болсон серийн дугаартай шалгалт бүтэлгүйтэх. Клиент зөвхөн ерөнхий гар барилтын алдаа мэдээлдэг тул хүчингүй болгох шийдвэр хайхад клиентийн лог муу газар.
Хүчингүй болсон профайлаас шинэ оролдлогоор шалгаад дараа нь зогсоорой. Тэр профайлаас амжилттай холбогдсон нь файлын зам болон ажиллуулах бүртгэлийг шалгах дохио бөгөөд жагсаалт буруу байсан гэж таамаглах биш. Тэр амжилттай оролдлогыг хүлээн авах шалгалт болгон үлдээж, өөрөө ажиглаагүй дахин холболтыг тоолоорой.
Юу ч хүчингүй болгодоггүй зүйл
Профайлыг зөөврийн компьютерээс устгах, гэрчилгээний файлыг клиентээс хасах эсвэл хэрэглэгчид холбогдохоо болиул гэж хэлэх нь сервер дээр юу ч өөрчлөхгүй. Гэрчилгээ нь байгууллага хүчингүй болгохыг бүртгэж, шалгагч үүссэн жагсаалтыг унших хүртэл хүчинтэй хэвээр байна.
Тиймээс гинжийг бичиж үлдээх нь үнэ цэнэтэй: хүчингүй болгохыг бүртгэ, жагсаалтыг үүсгэж гарын үсэг зур, яг тэр файлыг түгээ, үйлчилгээний бүртгэл түүнийг уншиж чадахыг батал. Холбоос бүр богино бөгөөд дутуу аль ч холбоос хүчингүй болсон клиентийг хөгжилтэйгээр холбогдсоор үлдээнэ. Дөрвөн мөртэй шалгах хуудас нэг ч мөргүй таамаглалаас илүү.