Gantung satu klien OpenVPN tanpa membatalkan sijilnya

Apabila komputer riba pergi ke meja pembaikan selama seminggu, naluri biasa ialah mengeluarkan sijilnya daripada CA. Rekod itu ialah lejar pengeluar, bukan suis akses sementara. OpenVPN sudah mempunyai mekanisme setiap klien untuk menolak sambungan, dan menggunakannya mengekalkan sejarah CA utuh. Kedua-dua kawalan menjawab soalan berbeza, dan mencampurkannya menimbulkan kerja apabila peranti kembali.

Dua rekod, dua tugas berbeza

Pangkalan data CA merekodkan apa yang ditandatangani pengeluar dan apa yang dibatalkannya kemudian. Ia ditanya oleh aliran pembatalan dan oleh apa-apa yang membaca CRL atau salinannya sendiri bagi lejar. Peraturan kemasukan tinggal pada pelayan dan terpakai kepada sambungan yang diterima pelayan itu.

Memadam rekod pengeluaran tidak membatalkan sijil secara boleh dipercayai, dan ia merosakkan sejarah yang bergantung padanya pembatalan atau audit kemudian. Kawalan di sebelah pelayan lebih sempit dan boleh diterbalikkan. Tulis perbezaannya dalam nota perubahan supaya orang seterusnya tidak mencari pembatalan yang tidak pernah berlaku.

Letakkan arahan lumpuh dalam fail yang betul

Untuk pelayan komuniti yang menggunakan konfigurasi khusus klien, arahan disable yang didokumenkan menolak satu klien terpilih. Ia terletak dalam fail klien itu di bawah client-config-dir yang aktif, bukan dalam konfigurasi utama pelayan. Sahkan direktori yang benar-benar digunakan oleh daemon yang berjalan, kemudian sahkan identiti yang memilih fail itu. Fail yang dinamakan sempena nama umum yang salah kelihatan betul dan tidak pernah dibaca.

disable

Pilihan pemetaan penting di sini. Pilihan seperti username-as-common-name menukar identiti yang digunakan oleh carian, jadi fail yang dinamakan sempena subjek sijil mungkin bukan fail yang digunakan. Baca rujukan OpenVPN untuk versi yang dipasang dan bukannya menganggap arahan itu sah dalam setiap konteks.

Asingkan kemasukan baharu daripada sesi aktif

Menolak jabat tangan seterusnya tidak menamatkan terowong yang sudah tegak. Jika peranti mesti diputuskan sekarang, gunakan juga laluan pengurusan sesi sah pelayan untuk sesi tertentu itu. Jika tidak, klien boleh terus berfungsi sehingga ia menyambung semula sendiri, dan menutup penutup komputer riba atau keluar daripada klien ialah tindakan di pihak klien yang tidak memberitahu apa-apa tentang pelayan.

Sahkan kedua-dua hasil: sesi aktif berhenti apabila anda mahu, dan jabat tangan baharu ditolak. Tetingkap klien yang tertutup tidak membuktikan apa-apa tentang dasar pelayan.

Jika penggunaan tidak mempunyai cara yang disokong untuk menamatkan sesi aktif, catat kekurangan itu dan bukannya mereka-reka satu. Port yang disekat pada klien tidak sama dengan dasar di sebelah pelayan.

Jeda dan kompromi ialah peristiwa berbeza

Kunci yang hilang atau dicuri ialah peristiwa pembatalan, dan jeda akses setempat tidak menggantikannya. Pelayan lain yang mempercayai CA yang sama tidak akan berkongsi peraturan khusus klien pelayan ini. Ikut proses pembatalan dan penggantian pengeluar serta kekalkan pangkalan data CA sebagai rekod berwibawa. Jeda sementara, sebaliknya, memerlukan sebab yang didokumenkan dan langkah pemulihan.

Apabila akses dipulihkan, buang sekatan melalui komponen yang memilikinya dan sahkan sambungan baharu berjaya. Catat juga laluan baris disable, kerana penyegerakan konfigurasi kemudian boleh mengembalikannya secara senyap. Simpan jeda, pemiliknya dan tarikhnya dalam nota penggunaan, supaya pentadbir seterusnya tidak menemui baris disable tanpa penjelasan berbulan-bulan kemudian.