Eén OpenVPN-client opschorten zonder het certificaat in te trekken

Wanneer een laptop een week op de reparatiebank staat, is de gebruikelijke reflex om het certificaat uit de CA te verwijderen. Die registratie is het grootboek van de uitgever, geen tijdelijke toegangsschakelaar. OpenVPN heeft al een mechanisme per client om een verbinding te weigeren, en dat gebruiken houdt de geschiedenis van de CA intact. De twee controles beantwoorden verschillende vragen, en ze door elkaar halen levert werk op wanneer het apparaat terugkomt.

Twee registraties, twee verschillende taken

De CA-database legt vast wat de uitgever heeft ondertekend en wat hij later heeft ingetrokken. Zij wordt geraadpleegd door intrekkingsprocessen en door alles wat de CRL of zijn eigen kopie van het grootboek leest. Een toegangsregel leeft op de server en geldt voor de verbindingen die die server accepteert.

Het verwijderen van een uitgifteregel trekt een certificaat niet betrouwbaar in, en het beschadigt de geschiedenis waarop latere intrekking of audit steunt. De controle aan de serverkant is smaller en omkeerbaar. Schrijf het verschil in de wijzigingsnotitie, zodat de volgende persoon niet zoekt naar een intrekking die nooit heeft plaatsgevonden.

Zet de uitschakelrichtlijn in het juiste bestand

Voor een gemeenschapsserver met cliëntspecifieke configuratie weigert de gedocumenteerde disable-richtlijn één geselecteerde client. Die hoort in het bestand van die client onder de actieve client-config-dir, niet in de hoofdconfiguratie van de server. Controleer de map die de draaiende daemon werkelijk gebruikt, en bevestig daarna de identiteit die het bestand selecteert. Een bestand dat naar de verkeerde common name is vernoemd, ziet er goed uit en wordt nooit gelezen.

disable

De keuze van de mapping is hier belangrijk. Opties zoals username-as-common-name veranderen welke identiteit de opzoeking gebruikt, dus een bestand dat naar het subject van het certificaat is vernoemd, is misschien niet het bestand dat wordt toegepast. Lees de OpenVPN-referentie voor de geïnstalleerde versie in plaats van aan te nemen dat een richtlijn in elke context geldig is.

Scheid nieuwe toelating van actieve sessies

Het weigeren van de volgende handshake beëindigt geen tunnel die al staat. Moet het apparaat nu worden losgekoppeld, gebruik dan ook het geautoriseerde sessiebeheerpad van de server voor precies die sessie. Anders kan de client blijven werken tot hij zelf opnieuw verbindt, en het sluiten van de laptopklep of het afsluiten van de cliënt is een actie aan de cliëntzijde die niets over de server zegt.

Controleer beide uitkomsten: de actieve sessie stopt wanneer u dat wil, en een nieuwe handshake wordt geweigerd. Een gesloten cliëntvenster bewijst niets over het serverbeleid.

Heeft de uitrol geen ondersteunde manier om een actieve sessie te beëindigen, leg dan dat gat vast in plaats van er een te improviseren. Een geblokkeerde poort op de cliënt is niet hetzelfde als beleid aan de serverkant.

Pauze en compromittering zijn verschillende gebeurtenissen

Een verloren of gestolen sleutel is een intrekkingsgebeurtenis, en een lokale toegangspauze vervangt die niet. Andere servers die hetzelfde CA vertrouwen, delen deze cliëntspecifieke regel van deze server niet. Volg het intrekkings- en vervangingsproces van de uitgever en houd de CA-database als het gezaghebbende register. Een tijdelijke pauze vereist daarentegen een gedocumenteerde reden en een herstelstap.

Wanneer de toegang is hersteld, verwijdert u de beperking via de component die er eigenaar van is en bevestigt u dat een nieuwe verbinding slaagt. Leg ook het pad van de disable-regel vast, want een latere configuratiesynchronisatie kan hem stilzwijgend terugzetten. Bewaar de pauze, de eigenaar en de datum in de uitrolnotities, zodat de volgende beheerder maanden later geen onverklaarde disable-regel aantreft.