Issospendi klijent OpenVPN wieħed mingħajr ma tħassar iċ-ċertifikat tiegħu

Meta laptop imur fuq il-bank tat-tiswija għal ġimgħa, l-istint tas-soltu huwa li tneħħi ċ-ċertifikat tiegħu mis-CA. Dak ir-rekord huwa r-reġistru tal-emittent, mhux swiċċ temporanju ta' aċċess. OpenVPN diġà għandu mekkaniżmu għal kull klijent biex jirrifjuta konnessjoni, u l-użu tiegħu jżomm l-istorja tas-CA intatta. Iż-żewġ kontrolli jwieġbu mistoqsijiet differenti, u t-taħlit tagħhom joħloq xogħol meta l-apparat jerġa' lura.

Żewġ rekords, żewġ xogħlijiet differenti

Id-database tas-CA tirreġistra x'iffirma l-emittent u x'ħassar aktar tard. Hija kkonsultata mill-flussi tat-tħassir u minn kull ħaġa li taqra s-CRL jew il-kopja tagħha stess tar-reġistru. Regola tal-aċċess tgħix fuq is-server u tapplika għall-konnessjonijiet li dak is-server jaċċetta.

It-tħassir ta' rekord ta' ħruġ ma jħassarx ċertifikat b'mod affidabbli, u jagħmel ħsara lill-istorja li tiddependi fuqha t-tħassir jew l-awditjar aktar tard. Il-kontroll fuq in-naħa tas-server huwa iktar dejjaq u riversibbli. Ikteb id-differenza fin-nota tal-bidla sabiex il-persuna li jmiss ma tfittxix tħassir li qatt ma seħħ.

Poġġi d-direttiva tal-iżattivar fil-fajl it-tajjeb

Għal server tal-komunità li juża konfigurazzjoni speċifika għall-klijent, id-direttiva dokumentata disable tirrifjuta klijent wieħed magħżul. Hija tappartjeni għall-fajl ta' dak il-klijent taħt il-client-config-dir attiv, mhux fil-konfigurazzjoni prinċipali tas-server. Ikkonferma d-direttorju li d-daemon li qed jaħdem fil-fatt juża, imbagħad ikkonferma l-identità li tagħżel il-fajl. Fajl imsemmi bl-isem komuni żbaljat jidher tajjeb u qatt ma jinqara.

disable

L-għażliet tal-mapping huma importanti hawn. Għażliet bħal username-as-common-name ibiddlu liema identità tuża t-tfittxija, għalhekk fajl imsemmi għas-suġġett taċ-ċertifikat jista' ma jkunx dak applikat. Aqra r-referenza tal-OpenVPN għall-verżjoni installata minflok ma tassumi li direttiva hija valida f'kull kuntest.

Issepara l-ammissjoni l-ġdida mis-sessjonijiet attivi

Li tirrifjuta l-handshake li jmiss ma jtemmx tunnel li diġà huwa mwaqqaf. Jekk l-apparat irid jiġi skonnettjat issa, uża wkoll il-passaġġ awtorizzat tal-immaniġġjar tas-sessjonijiet tas-server għal dik is-sessjoni speċifika. Inkella l-klijent jista' jibqa' jaħdem sakemm jerġa' jikkonnettja waħdu, u li tagħlaq l-għatu tal-laptop jew toħroġ mill-klijent hija azzjoni fuq in-naħa tal-klijent li ma tgħid xejn dwar is-server.

Ivverifika ż-żewġ riżultati: is-sessjoni attiva tieqaf meta trid, u handshake ġdid jiġi miċħud. Tieqa tal-klijent magħluqa ma tipprova xejn dwar il-politika tas-server.

Jekk l-iskjerament m'għandux mod appoġġjat biex itemm sessjoni attiva, irreġistra dak in-nuqqas minflok ma timprovviża wieħed. Port imblukkat fuq il-klijent mhuwiex l-istess bħal politika fuq in-naħa tas-server.

Pawża u kompromess huma avvenimenti differenti

Ċavetta mitlufa jew misruqa hija avveniment ta' tħassir, u pawża lokali tal-aċċess ma tissostitwixxihiex. Servers oħra li jafdaw l-istess CA mhux se jaqsmu din ir-regola speċifika għall-klijent ta' dan is-server. Segwi l-proċess tat-tħassir u s-sostituzzjoni tal-emittent u żomm id-database tas-CA bħala rekord awtorevoli. Pawża temporanja, għall-kuntrarju, teħtieġ raġuni dokumentata u pass ta' restawr.

Meta l-aċċess jiġi restawrat, neħħi r-restrizzjoni permezz tal-komponent li jippossjediha u kkonferma li konnessjoni ġdida tirnexxi. Irreġistra wkoll il-passaġġ tal-linja disable, għax sinkronizzazzjoni tal-konfigurazzjoni aktar tard tista' terġa' tpoġġiha bil-kwiet. Żomm il-pawża, is-sid tagħha u d-data fin-noti tal-iskjerament, sabiex l-amministratur li jmiss ma jsibx xhur wara linja disable mingħajr spjegazzjoni.