Tilbakekalla klient koplar framleis til: lista kom aldri fram

Tilbakekalling trengjer aldri inn i ein køyrande tunnel for å sletta ei økt. Lista er eit innspel til sertifikatverifisering og blir slått opp under kontrollkanalutvekslinga som startar ei TLS-økt. Den eine kjensgjerninga forklarer båe overraskingane: ein tilbakekalla klient koplar til att fordi lista aldri nådde fram til verifiseraren, og ei eksisterande økt overlever fordi ingen verifiserte noko på nytt.

Ei liste er eit innspel, ikkje ei handling

Under oppsett av økta validerer tenaren klienten sitt sertifikat mot tillitsankra sine, og tilbakekallingsdirektivet legg eit listesøk til den avgjerda. Kontrollen skjer på tenaren, så klienten kan ikkje sjå at sertifikatet er tilbakekalla og held fram med å tilby det same. Ein profil som framleis koplar til, beviser difor berre at ein eller annan verifiserar godtok kjeda, ikkje at tilbakekallinga svikta.

Lista er sjølv eit signert objekt med utferdingsdato og neste oppdateringsdato. Ei uvedkommande liste, ei som er signert av ein annan styresmakt eller ei der neste oppdatering er passert, er ikkje ei erstatning for den gjeldande, og om ei forelda liste blir avvist eller stillteiande godteken, kjem an på utrullinga.

Ny tilkopling kontra køyrande økt

Tilbakekalling blir vurdert når ei økt blir etablert eller reforhandla, ikkje mot datakanalen for kvar pakke. Ein klient som alt er tilkopla, har trafikknøklar og slepp difor framleis pakkar gjennom etter at sertifikatet blir synleg på lista. Standardintervallet for reforhandling blir målt i timar, og difor kan ei oppdatert liste tre i kraft for nye medan ein køyrande tunnel blir ståande.

Umiddelbar handheving krev ei medviten handling og ikkje berre lista. Ein omstart av tenesta tvingar kvar klient til å kopla til på nytt, medan avslutting av éi økt via administrasjonsgrensesnittet lèt dei andre vere urørte. Vel éin per hending og noter kva du brukte. Dei to vala har ulik rekkjevidd, og det er den eigentlege avgjerda.

Lever fila verifiseraren faktisk les

Lista må genererast frå registeret til styresmakta og deretter kopierast til kvar maskin som verifiserer sertifikat. Å generere henne på CA-verten og aldri installere henne på tenaren er den vanlegaste feilen, og han ser nøyaktig ut som ein øydelagd tilbakekallingsfunksjon.

ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pem

To detaljar avgjer om fila faktisk blir lesen. Ein relativ stig blir løyst mot konfigurasjonsmappa, så ein kopi som ligg i heimekatalogen til ein operatør blir kanskje aldri funnen. Og daemonen gir vanlegvis frå seg privilegia etter oppstart, så køyretidskontoen treng søkjeløyve på kvar overordna mappe og leseløyve på fila. Kontroller båe med køyretidskontoen i staden for med root, elles beviser testen det gale.

På systemd-vertar kan ei herda eining også løyna stigen, med eit skriveverna vising eller ein verna systemkatalog. Inne i tenesta kan det ikkje skiljast frå ei manglande fil, så kontroller avgrensingane til eininga før du leitar etter ein løyvefeil. Les einingafila før du gir filmodusen skulda.

Stadfest på tenaren, ikkje på klienten

Tenarloggen nemner kva som skjedde: opning av lista, innlasting av henne eller mislukka verifisering med det tilbakekalla serienummeret. Klienten rapporterer berre ein generisk handtrykkfeil, og difor er klientloggar ein dårleg stad å leite etter ei tilbakekallingsavgjerd.

Kontroller med eit friskt forsøk frå den tilbakekalla profilen og stopp deretter. Ei vellukka tilkopling frå den profilen er signalet om å undersøkje filstigen og køyretidskontoen, ikkje å gå ut frå at lista var feil. Hald det vellukka forsøket som aksepttest, og tel ikkje ei attkopling du ikkje sjølv såg.

Kva som ikkje tilbakekallar noko

Å sletta profilen frå ein berbar datamaskin, fjerna sertifikatfila frå klienten eller be brukaren slutta å kopla til endrar ingenting på tenaren. Sertifikatet held fram med å vere gyldig til styresmakta registrerer tilbakekallinga og verifiseraren les den resulterande lista.

Det er også difor kjeda er verd å skrive ned: registrer tilbakekallinga, generer og signer lista, distribuer nøyaktig den fila, og stadfest at tenestekontoen kan lese henne. Kvar lenkje er kort, og manglar éi, held ein tilbakekalla klient fram med å kopla til i beste velgåande. Ei sjekkliste med fire linjer slår ei føresetnad utan noka.