एक OpenVPN ग्राहक रोक्नु: रद्द गर्नु किन गलत लिभर हो

एक ग्राहकको पहुँच रोक्नु र उसलाई सधैंका लागि हटाउनु एउटै काम जस्तो देखिन्छ, जबसम्म तपाईं यी दुईमध्ये एउटा फर्काउन खोज्नुहुन्न। प्रमाणपत्र रद्द गर्नुले सर्भरले अन्तिम मान्ने रेकर्ड लेख्छ, र त्यसलाई फर्काउनु भनेको जारी गर्नेको डेटाबेस हातले सम्पादन गर्नु हो। चालु सुरुङ छोडिदिनु यस्तो व्यवस्थापन आदेश हो जसले विश्वासमा केही बदल्दैन। लिभर छान्नुहोस् यो प्रश्न सोधेर कि कुञ्जी अझै विश्वसनीय छ कि छैन, अनुरोध कति जरुरी देखिन्छ भनेर सोधेर होइन।

विश्वास: रद्द गरिएको र स्थगित एउटै कुरा हो

ठेकेदारलाई एक हप्ता रोकिन्छ र पहिलो प्रतिक्रिया रद्द गर्ने हुन्छ, किनभने रद्द गर्नु केही बन्द गरेजस्तो सुनिन्छ। यो सफा देखिन्छ, दस सेकेन्ड लाग्छ, र फर्कने एउटै बाटोको रूपमा डेटाबेस सम्पादन छोड्छ। यो प्रतिक्रिया बुझ्न सकिने छ र यो ढोका बन्द गर्नभन्दा राहदानी जलाउन नजिक छ। रोकिएको यन्त्र र खुलासा भएको कुञ्जीलाई फरक व्यवहार चाहिन्छ, र यीमध्ये एउटा मात्र सस्तोमा फर्काउन सकिन्छ।

भिन्नता व्यक्तिको होइन, परिचयपत्रको हो। अझै सही हातमा रहेको कुञ्जी विश्वासको कुनै हानि बिना रोक्न र फेरि सुरु गर्न सकिन्छ। प्रतिलिपि भएको हुन सक्ने कुञ्जी कहिल्यै पुनर्स्थापना गर्नु हुँदैन, किनभने पुनर्स्थापनाले प्रतिलिपि अवस्थित छैन भनेर दाबी गर्छ।

दुईमध्ये कुनै पनि प्रणालीलाई छुनु अघि उत्तर लेख्नुहोस्। कुञ्जी खुलासा भयो कि भएन भन्न सक्नुहुन्न भने, रूढिवादी उत्तर प्रतिस्थापन हो।

व्यवस्थापन इन्टरफेसबाट चालु सत्र छोडिदिनुहोस्

OpenVPN ले व्यवस्थापन इन्टरफेस दिन्छ जसले सत्रको सूची बनाउन र तीमध्ये एउटा सामान्य नामले मार्न सक्छ। यसलाई localhost मा सक्रिय गर्नुहोस्, सार्वजनिक इन्टरफेसबाट टाढा राख्नुहोस्, र सत्र अहिलेै हराउनुपर्ने भए मार्ने आदेश पठाउनुहोस्। आदेशले त्यो सुरुङ मात्र बन्द गर्छ, र अरू हरेक ग्राहक काम गरिरहन्छ।

यो सक्रिय समस्याको प्रतिक्रिया हो, स्थगन नीति होइन। त्यही प्रोफाइल एक मिनेटमा फेरि जोडिन सक्छ, किनभने यसको परिचयपत्रमा केही बदलिएको छैन। सत्र जानुपर्ने र टिकाउ निर्णय अझै भइरहेको बेला यो प्रयोग गर्नुहोस्।

मार्नु अघि सत्र जोडिएको थियो भनेर पुष्टि गर्नुहोस्, कहिल्यै नजोडिएको ग्राहकको खोजीमा नलाग्न। तलको स्थिति आदेशले अहिले के जोडिएको छ त्यो छाप्छ।

printf 'status 2\nquit\n' | nc 127.0.0.1 7506
printf 'kill kiosk-14\nquit\n' | nc 127.0.0.1 7506

मार्ने आदेशले यस्तो ग्राहक छैन भन्यो भने, प्रमाणपत्रको सामान्य नाम तपाईंले टाइप गरेको शृंखला होइन। प्रोफाइल फाइलको नामको सट्टा स्थिति आउटपुट पढ्नुहोस्।

CRL ले वास्तवमा के नियन्त्रण गर्छ

सर्भरले प्रमाणपत्रमा भण्डारण गरिएको रद्द गर्ने झन्डालाई हेर्दैन। यसले crl-verify मा नाम दिइएको प्रमाणपत्र रद्द गर्ने सूची हरेक नयाँ जडानमा पढ्छ र जसको क्रम संख्या त्यो सूचीमा छ त्यस्तो प्रमाणपत्र अस्वीकार गर्छ। यसबाट दुई परिणाम आउँछन्, र दुवै सञ्चालनका दृष्टिले महत्त्वपूर्ण छन्। फाइल सर्भरले आफ्ना अधिकार सुम्पने खाताका लागि पढ्न योग्य हुनुपर्छ, र पहिले नै जोडिएको ग्राहक फेरि नजोडिएसम्म चलिरहन्छ।

दोस्रो परिणामले घटनाका बेला मानिसहरूलाई अचम्ममा पार्छ। प्रमाणपत्र रद्द गर्नुले अहिले त्यसलाई प्रयोग गरिरहेको सुरुङ बन्द गर्दैन। सत्र तुरुन्तै अन्त्य गर्नुपर्ने भए रद्द गर्नलाई व्यवस्थापन मारसँग जोड्नुहोस्, र दुवै कार्यलाई निर्देशिकामा छुट्टाछुट्टै चरण मान्नुहोस्।

अन्तिम पटक प्रतिलिपि गरेको फाइलको समयमा भरोसा गर्नुको सट्टा सूची जाँच्नुहोस्, सर्भरले वास्तवमा के लागू गर्छ हेर्न। महत्त्वपूर्ण भाग क्रम संख्याहरूको गणना हो।

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | sed -n '1,14p'
ls -l /etc/openvpn/server/crl.pem

प्रविष्टि नभएको सूची र सही प्रविष्टि भएको सूची डाइरेक्टरी सूचीमा एउटै देखिन्छ, त्यसैले क्रम संख्याहरूको गणना छाप्नु लाभदायक छ। अनुमतिको लाइन पनि त्यत्तिकै महत्त्वपूर्ण छ, किनभने डेमनले पढ्न नसक्ने फाइलले अस्वीकृत ग्राहकजस्तो देखिने असफलता उत्पन्न गर्छ।

रेकर्ड पुनर्स्थापना, सावधानीपूर्वक

प्रमाणपत्र पुनर्स्थापना भनेको जारी डेटाबेसमा रेकर्ड उल्टाउनु र नयाँ सूची प्रकाशित गर्नु हो। easy-rsa 3 ले त्यो डेटाबेसलाई PKI डाइरेक्टरीमुनि index.txt को रूपमा राख्छ, जबकि पुराना संरचनाले फरक व्यवस्था प्रयोग गर्थे। रेखा स्थिति अक्षर र म्याद सकिने मितिबाट सुरु हुन्छ। रद्द गरिएको रेखाले क्रम संख्या, प्रमाणपत्र फाइलको नाम र विशिष्ट नामसँग अगाडि बढ्नु अघि रद्द गर्नको लागि समयचिह्न राख्छ। रेखा फर्काएर राख्नु भनेको त्यो समयचिह्न मेटाएर अक्षर उल्टाउनु हो, बाँकी सबै अक्षत राख्नु।

पहिले फाइलको ब्याकअप लिनुहोस्, र सम्पादन टेक्स्ट एडिटरमा टाइप गर्नुको सट्टा स्क्रिप्टको रूपमा गर्नुहोस्। रेखामा कति फिल्ड छन् भन्ने बदल्ने टाइपोले पछि थपिने हरेक प्रमाणपत्रको जारी खत्तम गर्छ। त्यसैले परिवर्तन स्वचालित गर्नु र छुनु अघि फाइल प्रतिलिपि गर्नु आवश्यक छ।

एउटै नामको दोस्रो रद्द पनि प्रायः असफल हुन्छ, किनभने पहिलो पटकले त्यो प्रमाणपत्र र यसको कुञ्जी उपकरणले खोज्ने डाइरेक्टरीबाट बाहिर सारेको थियो। त्यसपछि उपकरणले रद्द गर्न भनिएको कुरा भेट्टाउँदैन, र त्रुटि सन्देशले कारण सधैं स्पष्ट बताउँदैन।

cp /etc/easy-rsa/pki/index.txt /root/index.txt.$(date +%F-%H%M)
grep -c '^R' /etc/easy-rsa/pki/index.txt
easyrsa gen-crl

नयाँ सूची प्रकाशित गर्नुहोस्, यसको स्वामित्व सुधार्नुहोस्, र सर्भरलाई यो पढ्न लगाउनुहोस्। अधिकांश स्थापनामा रिलोड पर्याप्त हुन्छ, तर पुष्टि नयाँ जडानबाट आउनुपर्छ, किनभने विद्यमान सत्रले केही पनि फेरि जाँचेको छैन।

मुद्दालाई कुन लिभर योग्य छ भनेर जाँच्नुहोस्

पूरै निर्देशिका निर्धारण गर्ने एउटा प्रश्न सोध्नुहोस्: निजी कुञ्जी अझै पनि जहाँ हुनुपर्ने हो त्यहीँ मात्र छ। यदि छ भने, सत्र मार्नु र लिखित विरामले मुद्दा समेट्छ र कुनै स्थायी रेकर्ड पछाडि छोड्दैन। यदि छैन भने, एकमात्र सुरक्षित उत्तर नयाँ कुञ्जी हो र पुरानो प्रमाणपत्र रद्द गरिएको अवस्थामै रहन्छ।

त्यसपछि नतिजा कन्फिगरेसनको भिन्नताले होइन, जडानको प्रयासले प्रमाणित गर्नुहोस्। भिन्नताले तपाईंको मनसाय बताउँछ, र जडानले सर्भरले के लागू गर्छ बताउँछ।

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | grep -c 'Serial Number'
printf 'status 2\nquit\n' | nc 127.0.0.1 7506

पुनर्स्थापित ग्राहक जोडियो र स्थिति आउटपुटमा देखियो भने, रेकर्ड सम्पादनले काम गर्यो। रद्द गरिएको ग्राहक अस्वीकृत भयो र लगले CRL को नाम लियो भने, रद्द गर्नुले काम गर्यो। यीबीचको जुनसुकै कुरा अनुमति वा रिलोडको समस्या हो, र अर्को अनुरोध आउनु अघि यसलाई सुधार्नु लाभदायक छ।