Waqqaf klijent wieħed ta' OpenVPN: għaliex ir-revoka hija l-ingranaġġ żbaljat

Li twaqqaf l-aċċess ta' klijent wieħed u li tneħħih għal dejjem jidhru l-istess xogħol sakemm tipprova tħassar wieħed miż-żewġ. Li tirrevoka ċertifikat tikteb rekord li s-server jittratta bħala finali, u li treġġgħu lura jfisser li teditja bl-idejn il-bażi tad-dejta tal-emittent. Li twaqqa' t-tunnel li qed jaħdem hija kmand ta' ġestjoni li ma jbiddel xejn fil-fiduċja. Agħżel l-ingranaġġ billi tistaqsi jekk iċ-ċavetta għadhiex affidabbli, mhux billi tistaqsi kemm tidher urġenti t-talba.

It-twemmin: revokata u sospiża huma l-istess ħaġa

Kuntrattur jiġi sospiż għal ġimgħa u r-rifless huwa li tirrevoka, għax revoka tinstema' bħal li titfi xi ħaġa. Tidher pulita, tieħu għaxar sekondi, u tħalli editjar tal-bażi tad-dejta bħala l-unika triq lura. Ir-rifless huwa li jiftiehem u huwa eqreb lejn li taħraq passaport milli lejn li tagħlaq bieb. Apparat sospiż u ċavetta kompromessa jeħtieġu trattament differenti, u wieħed biss minnhom huwa rħis biex treġġgħu lura.

Id-differenza hija dwar il-kredenzjali u mhux dwar il-persuna. Ċavetta li għadha fl-idejn it-tajba tista' tiġi sospiża u tkompli mingħajr ebda telf ta' fiduċja. Ċavetta li setgħet ġiet ikkupjata qatt m'għandha tiġi restawrata, għax ir-restawr jafferma li l-kopja ma teżistix.

Ikteb it-tweġiba qabel ma tmiss xi wieħed miż-żewġ sistemi. Jekk ma tistax tgħid jekk iċ-ċavetta ġietx esposta, it-tweġiba konservattiva hija sostituzzjoni.

Waqqa' s-sessjoni li qed taħdem bl-interfaċċja tal-ġestjoni

OpenVPN joffri interfaċċja tal-ġestjoni li tista' telenka s-sessjonijiet u toqtol waħda minnhom bl-isem komuni. Attivaha fuq localhost, żommha 'l bogħod mill-interfaċċja pubblika, u ibgħat il-kmand tal-qtil meta sessjoni trid tisparixxi issa. Il-kmand jagħlaq biss dak it-tunnel, u kull klijent ieħor ikompli jaħdem.

Din hija tweġiba għal problema attiva, mhux politika ta' sospensjoni. L-istess profil jista' jerġa' jgħaqqad fi żmien minuta, għax xejn fil-kredenzjali tiegħu ma nbidel. Użaha meta s-sessjoni trid titlaq u d-deċiżjoni dejjiema għadha qed tittieħed.

Ikkonferma li s-sessjoni kienet konnessa qabel ma toqtolha, biex ma tkunx qed tiġri wara klijent li qatt ma għaqqad. Il-kmand tal-istat hawn taħt jipprintja dak li bħalissa huwa konness.

printf 'status 2\nquit\n' | nc 127.0.0.1 7506
printf 'kill kiosk-14\nquit\n' | nc 127.0.0.1 7506

Jekk il-qtil jirrapporta li ma hemmx klijent bħal dan, l-isem komuni fiċ-ċertifikat mhuwiex is-sekwenza li ittajpjajt. Aqra l-output tal-istat minflok l-isem tal-fajl tal-profil.

X'jikkontrolla l-CRL fil-verità

Is-server ma jikkonsultax bandiera ta' revoka maħżuna fuq iċ-ċertifikat. Huwa jaqra l-lista tar-revoka taċ-ċertifikati msemmija f'crl-verify, f'kull konnessjoni ġdida, u jirrifjuta ċertifikat li n-numru tas-serje tiegħu jidher f'dik il-lista. Minn dan joħorġu żewġ konsegwenzi, u t-tnejn huma importanti operattivament. Il-fajl irid ikun jista' jinqara mill-kont li s-server iċedi l-privileġġi tiegħu lilu, u klijent diġà konness ikompli jaħdem sakemm jerġa' jgħaqqad.

It-tieni konsegwenza tissorprendi n-nies waqt inċidenti. Li tirrevoka ċertifikat ma jagħlaqx it-tunnel li qed jużah bħalissa. Ipparja r-revoka ma' qtil tal-ġestjoni jekk is-sessjoni trid tintemm minnufih, u ttratta ż-żewġ azzjonijiet bħala passi separati fil-manwal.

Spezzjona l-lista biex tara x'se jinfurza s-server fil-verità, minflok tafda l-marka tal-ħin tal-aħħar fajl li kkupjajt. L-għadd tan-numri tas-serje huwa l-parti li tabilħaqq tgħodd.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | sed -n '1,14p'
ls -l /etc/openvpn/server/crl.pem

Lista mingħajr entrati u lista bl-entrati t-tajba jidhru identiċi f'lista ta' direttorju, u għalhekk l-għadd tan-numri tas-serje jistħoqqlu jiġi printjat. Il-linja tal-permessi hija importanti daqs hekk, għax fajl li d-daemon ma jistax jaqra jipproduċi ħsara li tidher bħal klijent miċħud.

Irrestawra rekord, b'attenzjoni

Li tirrestawra ċertifikat ifisser li treġġa' lura rekord fil-bażi tad-dejta tal-ħruġ u tippubblika lista ġdida. easy-rsa 3 iżomm dik il-bażi tad-dejta bħala index.txt taħt id-direttorju PKI, filwaqt li t-tqassimiet eqdem użaw arranġament differenti. Linja tibda b'ittra tal-istat u data ta' skadenza. Linja revokata ddaħħal marka tal-ħin għar-revoka qabel ma tkompli bin-numru tas-serje, bl-isem tal-fajl taċ-ċertifikat u bl-isem distint. Li tqiegħed linja lura jfisser li tħassar dik il-marka tal-ħin u tqalleb l-ittra, filwaqt li tħalli kull ħaġa oħra kwieta.

Iġbed kopja ta' salvataġġ tal-fajl l-ewwel, u għamel l-editjar bħala skript minflok ma tittajpja f'editur tat-test. Żball tat-tajpja li jbiddel kemm-il qasam iġġorr linja jkisser il-ħruġ għal kull ċertifikat miżjud wara. Din hi r-raġuni biex il-bidla tiġi awtomatizzata u l-fajl jiġi kkupjat qabel ma tmissu.

It-tieni revoka tal-istess isem spiss tfalli wkoll, għax l-ewwel tħaddima ċaqalqet dak iċ-ċertifikat u ċ-ċavetta tiegħu 'l barra mid-direttorji fejn l-għodda tistenna li ssibhom. L-għodda mbagħad ma ssibx dak li ntalbet tirrevoka, u l-messaġġ tal-iżball mhux dejjem jispjega ċar għaliex.

cp /etc/easy-rsa/pki/index.txt /root/index.txt.$(date +%F-%H%M)
grep -c '^R' /etc/easy-rsa/pki/index.txt
easyrsa gen-crl

Ippubblika l-lista l-ġdida, sewwi s-sjieda tagħha, u ġġiegħel lis-server jaqraha. Reload huwa biżżejjed f'ħafna installazzjonijiet, imma l-konferma trid tiġi minn konnessjoni friska, għax is-sessjoni eżistenti qatt ma reġgħet iċċekkjat xejn.

Iċċekkja liema ingranaġġ jistħoqqlu l-każ

Staqsi l-mistoqsija waħda li tiddeċiedi l-manwal kollu: iċ-ċavetta privata għadhiex biss fejn suppost tkun. Jekk iva, il-qtil tas-sessjoni flimkien ma' pawsa dokumentata ikopru l-każ u ma jħallu ebda rekord permanenti. Jekk le, it-tweġiba sigura waħda hija ċavetta ġdida bis-ċertifikat antik jibqa' revokat.

Imbagħad ivverifika r-riżultat b'tentattiv ta' konnessjoni u mhux b'differenza ta' konfigurazzjoni. Id-differenza tgħidlek x'kellek f'moħħok, u l-konnessjoni tgħidlek x'qed jinfurza s-server.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | grep -c 'Serial Number'
printf 'status 2\nquit\n' | nc 127.0.0.1 7506

Meta klijent restawrat jgħaqqad u jidher fl-output tal-istat, l-editjar tar-rekord ħadem. Meta klijent revokat jiġi rrifjutat u l-log isemmi l-CRL, ir-revoka ħadmet. Kull ħaġa bejniethom hija problema ta' permessi jew ta' reload, u jistħoqqilha tiġi msewwija qabel ma tasal it-talba li jmiss.