Tilbakekalt klient kobler fortsatt til: listen kom aldri fram

Tilbakekalling trenger aldri inn i en kjørende tunnel for å slette en økt. Listen er et innspill til sertifikatverifisering og slås opp under kontrollkanalutvekslingen som starter en TLS-økt. Den ene kjensgjerningen forklarer begge overraskelsene: en tilbakekalt klient kobler til igjen fordi listen aldri nådde fram til verifisereren, og en eksisterende økt overlever fordi ingen verifiserte noe på nytt.

En liste er et innspill, ikke en handling

Under oppsett av økten validerer serveren klientens sertifikat mot sine tillitsankre, og tilbakekallingsdirektivet legger et listesøk til den beslutningen. Kontrollen skjer på serveren, så klienten kan ikke se at sertifikatet er tilbakekalt og fortsetter å tilby det samme. En profil som fortsatt kobler til, beviser derfor bare at en eller annen verifiserer godtok kjeden, ikke at tilbakekallingen sviktet.

Listen er selv et signert objekt med utstedelsesdato og neste oppdateringsdato. En uvedkommende liste, en som er signert av en annen myndighet eller en der neste oppdatering er passert, er ikke en erstatning for den gjeldende, og om en foreldet liste avvises eller stilltiende godtas, avhenger av utrullingen.

Ny tilkobling kontra kjørende økt

Tilbakekalling vurderes når en økt etableres eller reforhandles, ikke mot datakanalen for hver pakke. En klient som allerede er tilkoblet, har trafikknøkler og slipper derfor fortsatt pakker gjennom etter at sertifikatet vises på listen. Standardintervallet for reforhandling måles i timer, og derfor kan en oppdatert liste tre i kraft for nye mens en kjørende tunnel blir stående.

Umiddelbar håndheving krever en bevisst handling og ikke bare listen. En omstart av tjenesten tvinger hver klient til å koble til på nytt, mens avslutning av én økt via administrasjonsgrensesnittet lar de andre være urørt. Velg én per hendelse og noter hvilken du brukte. De to valgene har ulik rekkevidde, og det er den egentlige beslutningen.

Lever filen verifisereren faktisk leser

Listen må genereres fra myndighetens register og deretter kopieres til hver maskin som verifiserer sertifikater. Å generere den på CA-verten og aldri installere den på serveren er den vanligste feilen, og den ser nøyaktig ut som en ødelagt tilbakekallingsfunksjon.

ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pem

To detaljer avgjør om filen faktisk leses. En relativ sti løses mot konfigurasjonskatalogen, så en kopi som ligger i en operatørs hjemmekatalog blir kanskje aldri funnet. Og daemonen gir vanligvis fra seg privilegier etter oppstart, så kjøretidskontoen trenger søketillatelse på hver overordnet katalog og lesetillatelse på filen. Kontroller begge med kjøretidskontoen i stedet for med root, ellers beviser testen det gale.

På systemd-verter kan en herdet enhet også skjule stien, med en skrivebeskyttet visning eller en beskyttet systemkatalog. Inne i tjenesten kan det ikke skilles fra en manglende fil, så kontroller enhetens begrensninger før du leter etter en tillatelsesfeil. Les enhetsfilen før du gir filmodusen skylden.

Bekreft på serveren, ikke på klienten

Serverloggen navngir hva som skjedde: åpning av listen, innlasting av den eller mislykket verifisering med det tilbakekalte serienummeret. Klienten rapporterer bare en generisk håndtrykkfeil, og derfor er klientlogger et dårlig sted å lete etter en tilbakekallingsbeslutning.

Kontroller med et friskt forsøk fra den tilbakekalte profilen og stopp deretter. En vellykket tilkobling fra den profilen er signalet om å undersøke filstien og kjøretidskontoen, ikke å anta at listen var feil. Behold det vellykkede forsøket som aksepttest, og ikke tell en gjentilkobling du ikke selv så.

Hva som ikke tilbakekaller noe

Å slette profilen fra en bærbar datamaskin, fjerne sertifikatfilen fra klienten eller be brukeren slutte å koble til endrer ingenting på serveren. Sertifikatet forblir gyldig til myndigheten registrerer tilbakekallingen og verifisereren leser den resulterende listen.

Det er også derfor kjeden er verdt å skrive ned: registrer tilbakekallingen, generer og signer listen, distribuer nøyaktig den filen, og bekreft at tjenestekontoen kan lese den. Hvert ledd er kort, og mangler ett, fortsetter en tilbakekalt klient å koble til i beste velgående. En sjekkliste med fire linjer slår en antakelse uten noen.