Хүчингүй болсон VPN сертификат холбогдсоор байна уу? CRL хэрэгжилтийг шалгана уу
Хүчингүй болсон сертификатууд CRL шалгагчд хүрэхгүй үед холбогдсоор байдаг. Энэ дарааллаар эмитентийг, ачаалсан серийн дугаарыг, дахин ачаалах зан төлөв, идэвхтэй сессийг шалгана уу.
Та сертификатыг хүчингүй болгож, шинэ жагсаалт үүсгэсэн ч хуучин профайл туннель босгосоор байна. Хүчингүй болгох үйлдэл өөрөө эвдэрээгүй: CRL нь серийн дугаар цаашид хүчинтэй бус гэсэн гарын үсэгтэй мэдэгдэл бөгөөд TLS-г дуусгагч компонент түүнийг зөв эмитентийн хувьд ачаалж, хүлээн авах шийдвэр гаргахаас өмнө л хандалтыг өөрчилдөг. Эдгээр тохиолдлын ихэнх нь яг тэнд байдаг тул хүчингүй болгох ба татгалзах нь хоёр өөр баримт юм.
Доорх таван шалгалтыг дарааллаар нь хийж, эхний биелэхгүй байгаа дээр зогсоорой, учир нь дараагийн шалгалт бүр өмнөх нь үнэн гэж үздэг.
Хүлээн авах шийдвэрийг аль компонент гаргадгийг шалгана уу
Клиент сертификатыг баталгаажуулдаг процессыг нэрлэнэ үү, учир нь зөвхөн тэр процесс жагсаалтыг хэрэгжүүлж чадна. OpenVPN сервер дээр энэ нь crl-verify-аар тохируулсан демон өөрөө. ocserv дээр ocserv.conf доторх crl мөр. strongSwan дээр оролт нь ачаалсан CRL-ууд болон strictcrlpolicy. VPN-ийн урд TLS-г дуусгагч прокси эсвэл төхөөрөмж ч жинхэнэ шалгагч байж болох бөгөөд хэрэв тийм бол ард нь байгаа демон клиент сертификатыг хэзээ ч хардаггүй.
WireGuard өөр ангилалд хамаарна. Түүнд сертификат ч, хүчингүй болгох жагсаалт ч байхгүй; peer нь тохиргоон дахь нээлттэй түлхүүрээрээ хүлээн авагддаг тул хандалтыг зогсоох нь тэр түлхүүрийг устгахыг хэлнэ. Зөвхөн WireGuard бүхий байршуулалтад CRL хайж байгаа бол тэр механизм байхгүй.
Клиент талын урхинаас болгоомжил. Серверийн сертификат таалагдахгүй тул холбогдохоос татгалздаг клиент нь серверийн гинжийг хэрэгжүүлж байгаа бөгөөд өөрийн нэвтрэх эрхийг хүчингүй болгож байгаа юм биш. Хэрэглэгчийн сертификат нь тухайн сертификатыг баталгаажуулдаг газарт л хүчингүй болдог бөгөөд энэ нь бараг үргэлж серверийн тал байдаг.
Жагсаалтыг аль эмитентэд зориулж гарын үсэг зурсныг шалгана уу
CRL нь нэг эмитент CA-д хязгаарлагддаг. Үндэс ба завсрын CA байвал навч сертификатууд завсрынхаас гардаг тул чухал жагсаалт нь завсрынхны CRL; үндэсний жагсаалт тэдгээр навчийн талаар юу ч хэлэхгүй. Буруу файл руу чиглүүлсэн шалгагч түүнийг хөгжилтэй задлан шинжилж, тохирох бичлэг олохгүй, бүгдийг хүлээн авдаг.
Демонд хүрэхээс өмнө тохирлыг баталгаажуул. Сертификат дээрх эмитент нь жагсаалтын subject-тэй тохирох ёстой:
openssl x509 -in client.crt -noout -issuer -serial
openssl crl -in intermediate.crl -noout -issuer -lastupdate -nextupdateХоёулаа нэг CA-аас гаралтай бол сертификатад хэвлэгдсэн серийн дугаар нь жагсаалтад гарч байх ёстой утга. Хэрэв тохирохгүй бол та буруу CRL эсвэл түүний буруу хуулбарыг барьж байна.
Хүчинтэй байдал нь мөн тэр шалгалтад хамаарна. Өнгөрсөн үеийн nextUpdate жагсаалтыг хуучирдаг бөгөөд хаалттай байдлаар бүтэлгүйтдэг шалгагч зөвхөн хүчингүй болсныг бус бүх клиентийг татгалзана.
Серийн дугаар демоны ачаалсан хуулбарт байгаа эсэхийг шалгана уу
Хүчингүй болгох нь CA-ийн мэдээллийн санд бичлэг бичдэг, дахин үүсгэх нь шинэ файл бичдэг. Аль ч үйлдэл нь эхлэх үед хуучин хуулбарыг ачаалсан ажиллаж байгаа демонд хүрэхгүй. Жагсаалтыг гаргаж, серийн дугаарыг хай:
openssl crl -in intermediate.crl -noout -text | grep -i -A2 'Serial Number'
openssl ca -revoke client.crt
openssl ca -gencrl -out intermediate.crlДараа нь таны хэрэгжүүлэлт файлыг хэрхэн авдаг вэ гэдгийг шалга. OpenVPN нь crl-verify-д өгсөн замыг эхлэх үед нэг удаа уншдаг тул шинэ жагсаалт дахин эхлүүлэх эсвэл дахин эхлүүлэх дохио шаарддаг; каталог руу чиглэсэн мөн тэр сонголт холболт бүрд дахин уншигддаг, тиймээс каталогын горим байдаг. strongSwan өөрийн нэвтрэх мэдээллийг дахин ачаалах ёстой, жишээ нь swanctl --load-creds-аар. Диск дээрх файл зөв байх ба шалгагч түүнийг ашиглах нь хоёр өөр баримт.
Дутуу эсвэл хугацаа дууссан жагсаалтын бодлогыг шалгана уу
Энэ бол олон байршуулалт хэзээ ч тодорхой гаргадаггүй шийдвэр бөгөөд хүчингүй болгох нь таныг хамгаалах уу, эсвэл бүгдийг гадагш түгжих үү гэдгийг тодорхойлдог. Fail-closed гэдэг нь ашиглах боломжтой хүчингүй болгох мэдээлэл байхгүй бол татгалзал үүснэ гэсэн үг; fail-open гэдэг нь шалгагч түүнгүйгээр үргэлжилнэ гэсэн үг. strongSwan сонголтыг strictcrlpolicy хэлбэрээр ил гаргадаг. OpenVPN crl-verify-тай бол уншиж, задлан шинжилж чадахгүй файлаас эхлэхээс татгалздаг бөгөөд хугацаа дууссан жагсаалт чимээгүй хүлээн авалт биш, хугацаа дууссан CRL-ийн тухай TLS шалгалтын алдаа болж илэрдэг.
| State of the revocation data | Fail-closed result | Fail-open result |
|---|---|---|
| List missing or unreadable | Verification fails, so expect an outage | Every client connects, including the revoked one |
List past nextUpdate | Validation errors until a fresh list is deployed | Old status is trusted indefinitely |
| Revoked serial present in the loaded list | Handshake rejected for that certificate | Handshake rejected for that certificate |
Аль чиглэлийг сонгосон ч автоматжуулалт нь сонголтоос илүү чухал: nextUpdate-ын өмнө CRL-ийг дахин үүсгэдэг ажил, байршуулсан хуулбар хуучирвал өгөх анхааруулга нь аль ч бодлогыг осол болохоос хамгаална. OCSP-ээр онлайн шалгах нь шинэлэг байдлыг хариулагч руу шилжүүлдэг боловч мөн тэр дүрэм үйлчилнэ, учир нь хариултыг шалгахаар тохируулаагүй шалгагч юу ч өөрчлөхгүй.
Идэвхтэй сессийг, дараа нь түлхүүрийн хуулбаруудыг шалгана уу
Хүчингүй болгох нь сертификатыг баталгаажуулах үед үнэлэгддэг бөгөөд энэ нь холбогдох ба дахин хэлэлцэх үед болдог. Тогтсон сесс дахин хэлэлцэх хүртэл үргэлжилдэг бөгөөд OpenVPN-ийн анхдагч утга нь reneg-sec 3600-тайгаар цагт нэг удаа. Хэрэв хүн одоо сүлжээнээс гарах ёстой бол жагсаалтыг нийтэлэхийн зэрэгцээ сессийг зогсоож, дараа нь дахин холбогдохыг татгалзаж байгааг баталгаажуул.
Нэвтрэх эрхийг түүний хуулбараас тусгаарла. Нэг зөөврийн компьютер дээрх профайлыг устгах нь мөн тэр хувийн түлхүүрийн өөр хуулбарыг баталгаажуулахад саад болохгүй; хүчингүй болгох нь хуулбар бүрийг ашиггүй болгодог бөгөөд энэ нь өмнөх шалгалтууд биелсэн үед л үйлчилнэ. Солих төхөөрөмжид өөрийн сертификатыг өгснөөр нэгийг нөгөөд хүрэхгүйгээр хүчингүй болгож болно.
Үүнийг дууссан гэж дуудахын өмнө: баталгаажуулагч компонент тодорхойлогдсон, жагсаалтын эмитент навчийн эмитенттэй тохирч байна, хүчингүй болсон серийн дугаар демоны үнэхээр ачаалсан хуулбарт байна, дутуу эсвэл хугацаа дууссан жагсаалтын бодлого санаатай бөгөөд хянагдаж байна, идэвхтэй сесс хүлээхгүйгээр зогсоогдсон. Үүний цаана байгаа форматуудыг RFC 5280 тодорхойлдог.