रद्द केलेला क्लायंट अजूनही जोडतो: यादी कधीच पोहोचली नाही
रद्द करणे हे प्रमाणपत्र पडताळणीचे इनपुट आहे, सत्र संपवणारा आदेश नाही. नवीन कनेक्शन आणि चालू टनेल यादी कशी पाहतात याची तुलना करा.
रद्द करणे कधीच चालू टनेलमध्ये शिरून सत्र पुसत नाही. यादी प्रमाणपत्र पडताळणीचे इनपुट आहे आणि TLS सत्र सुरू करणाऱ्या नियंत्रण चॅनेलच्या देवाणघेवाणीत ती पाहिली जाते. ही एकच गोष्ट दोन्ही आश्चर्ये समजावते: रद्द केलेला क्लायंट पुन्हा जोडतो, कारण यादी कधीच पडताळणीकर्त्यापर्यंत पोहोचली नाही, आणि विद्यमान सत्र टिकते, कारण कोणीही काहीही पुन्हा पडताळले नाही.
यादी हे इनपुट आहे, कृती नाही
सत्र उभारताना सर्व्हर क्लायंट प्रमाणपत्र त्याच्या विश्वास अँकरविरुद्ध वैध करतो, आणि रद्द करण्याची सूचना त्या निर्णयात यादीचा शोध जोडते. तपासणी सर्व्हरवर होते, त्यामुळे क्लायंटला त्याचे प्रमाणपत्र रद्द झाले हे दिसत नाही आणि तो तेच प्रमाणपत्र देत राहतो. म्हणून अजूनही जोडणारे प्रोफाइल फक्त एवढे सिद्ध करते की कोण्या पडताळणीकर्त्याने साखळी स्वीकारली, रद्द करणे अयशस्वी झाले असे नाही.
यादी स्वतः जारी तारीख आणि पुढील अद्ययावत तारीख असलेली स्वाक्षरी केलेली वस्तू आहे. असंबंधित यादी, दुसऱ्या प्राधिकरणाने स्वाक्षरी केलेली यादी किंवा पुढील अद्ययावत तारीख उलटून गेलेली यादी सध्याच्या यादीची जागा घेत नाही, आणि जुनी यादी नाकारली जाते की गुपचूप स्वीकारली जाते हे तैनातीवर अवलंबून आहे.
नवीन कनेक्शन विरुद्ध चालू सत्र
रद्द करणे सत्र उभारले जाते किंवा पुन्हा बोलणी झाली की मूल्यांकन केले जाते, प्रत्येक पॅकेटवर डेटा चॅनेलविरुद्ध नाही. आधीच जोडलेल्या क्लायंटकडे ट्रॅफिक किल्ल्या असतात, त्यामुळे त्याचे प्रमाणपत्र यादीत आल्यानंतरही तो पॅकेट जाऊ देतो. डीफॉल्ट पुनर्बोलणी अंतराल तासांमध्ये मोजले जाते, म्हणून अद्ययावत यादी नव्यांसाठी लागू होऊ शकते, तर चालू टनेल टिकून राहते.
| Situation | What the list does | When it applies |
|---|---|---|
| Fresh connection | Blocks the handshake | At verification, immediately |
| Renegotiation | Blocks the new exchange | At the next renegotiation interval |
| Established data channel | Nothing | Until the session ends |
तात्काळ अंमलबजावणीसाठी फक्त यादी नाही, जाणूनबुजून केलेली कृती हवी. सेवा पुन्हा सुरू केल्यास प्रत्येक क्लायंटला पुन्हा जोडण्यास भाग पडते, तर व्यवस्थापन इंटरफेसवरून एक सत्र संपवल्यास बाकीचे अस्पर्शित राहतात. प्रत्येक घटनेसाठी एक निवडा आणि कोणते वापरले ते नोंदवा. दोन्ही पर्यायांचा परिणामव्याप्ती वेगळी आहे, आणि तोच खरा निर्णय.
पडताळणीकर्ता खरोखर वाचतो ती फाईल पोहोचवा
यादी प्राधिकरणाच्या नोंदीतून तयार करून नंतर प्रमाणपत्रे पडताळणाऱ्या प्रत्येक मशीनवर प्रत करावी लागते. ती CA होस्टवर तयार करून सर्व्हरवर कधीच न बसवणे हे सर्वात सामान्य अपयश आहे, आणि ते तंतोतंत बिघडलेल्या रद्द करण्याच्या सुविधेसारखे दिसते.
ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pemफाईल खरोखर वाचली जाते की नाही हे दोन तपशील ठरवतात. सापेक्ष मार्ग संरचना निर्देशिकेच्या संदर्भात सोडवला जातो, त्यामुळे ऑपरेटरच्या घरात ठेवलेली प्रत कधीच सापडणार नाही. आणि डीमन सुरू झाल्यावर सहसा विशेषाधिकार सोडतो, त्यामुळे रनटाइम खात्याला प्रत्येक पालक निर्देशिकेवर शोध परवानगी आणि फाईलवर वाचन परवानगी लागते. दोन्हीही root ने नाही, रनटाइम खात्याने तपासा, नाहीतर चाचणी चुकीची गोष्ट सिद्ध करते.
systemd होस्टवर कडक केलेले युनिटही मार्ग लपवू शकते, फक्त-वाचन दृश्य किंवा संरक्षित सिस्टम निर्देशिकेने. सेवेच्या आतून ते गहाळ फाईलपासून वेगळे ओळखता येत नाही, त्यामुळे परवानगीची चूक शोधायला जाण्यापूर्वी युनिटचे निर्बंध तपासा. फाईलच्या मोडला दोष देण्यापूर्वी युनिट फाईल वाचा.
क्लायंटवर नाही, सर्व्हरवर खात्री करा
सर्व्हर लॉग काय घडले ते सांगतो: यादी उघडणे, ती लोड करणे किंवा रद्द केलेल्या क्रमांकासह पडताळणी अपयशी होणे. क्लायंट फक्त सामान्य हँडशेक अपयश कळवतो, त्यामुळे रद्द करण्याचा निर्णय शोधायला क्लायंट लॉग खराब जागा आहे.
रद्द केलेल्या प्रोफाइलमधून नव्या प्रयत्नाने पडताळा आणि मग थांबा. त्या प्रोफाइलमधून यशस्वी कनेक्शन हाच फाईलचा मार्ग आणि रनटाइम खाते तपासण्याचा संकेत आहे, यादी चुकीची होती असे गृहीत धरण्याचा नाही. तो यशस्वी प्रयत्न स्वीकृती चाचणी म्हणून ठेवा, आणि तुम्ही न पाहिलेले पुनर्जोडणे मोजू नका.
काय काहीही रद्द करत नाही
लॅपटॉपवरून प्रोफाइल पुसणे, क्लायंटवरून प्रमाणपत्र फाईल काढणे किंवा वापरकर्त्याला जोडणे थांबवायला सांगणे सर्व्हरवर काहीही बदलत नाही. प्राधिकरण रद्द करण्याची नोंद करेपर्यंत आणि पडताळणीकर्ता त्यातून तयार झालेली यादी वाचेपर्यंत प्रमाणपत्र वैध राहते.
म्हणूनच साखळी लिहून ठेवणे फायद्याचे आहे: रद्द करण्याची नोंद करा, यादी तयार करून स्वाक्षरी करा, नेमकी तीच फाईल वितरित करा, आणि सेवा खात्याला ती वाचता येते याची खात्री करा. प्रत्येक दुवा छोटा आहे, आणि कोणताही दुवा गहाळ असल्यास रद्द केलेला क्लायंट आनंदाने जोडत राहतो. चार ओळींची तपासणी यादी एकही ओळ नसलेल्या गृहीतकापेक्षा वरचढ आहे.