Set ein OpenVPN-klient på pause utan å kalle attende sertifikatet

Når ein berbar PC hamnar ei veke på reparasjonsbenken, er den vanlege impulsen å fjerna sertifikatet hans frå CA-en. Den posten er protokollen til utstedaren, ikkje ein mellombels tilgangsbrytar. OpenVPN har alt ein mekanisme per klient for å nekte ei tilkopling, og å bruka han held historia til CA-en intakt. Dei to kontrollane svarar på ulike spørsmål, og å blanda dei skapar arbeid når eininga kjem attende.

To protokollar, to ulike oppgåver

Databasen til CA-en registrerer kva utstedaren signerte og kva han seinare kalla attende. Han blir spurd av attkallingsprosessar og av alt som les CRL-en eller sin eigen kopi av protokollen. Ei tilgangsregel bur på serveren og gjeld for tilkoplingane som den serveren godtek.

Å sletta ein utstedingspost kallar ikkje attende eit sertifikat påliteleg, og det skadar historia som seinare attkalling eller revisjon er avhengig av. Kontrollen på serversida er smalare og reversibel. Skriv skilnaden i endringsnotatet, så neste person ikkje leitar etter ei attkalling som aldri fann stad.

Legg deaktiveringsdirektivet i rett fil

For ein fellesskapsserver som brukar klientspesifikk konfigurasjon, avviser det dokumenterte disable-direktivet éin vald klient. Det høyrer heime i fila til den klienten under den aktive client-config-dir, ikkje i hovudkonfigurasjonen til serveren. Stadfest mappa som den køyrande daemonen faktisk brukar, og stadfest deretter identiteten som vel fila. Ei fil kalla opp etter feil vanleg namn ser rett ut og blir aldri lesen.

disable

Val av mapping har noko å seia her. Alternativ som username-as-common-name endrar kva identitet oppslaget brukar, så ei fil kalla opp etter subjektet til sertifikatet er kanskje ikkje den som blir brukt. Les OpenVPN-referansen for den installerte versjonen i staden for å gå ut frå at eit direktiv er gyldig i alle samanhengar.

Skil ny tilgang frå aktive økter

Å avvise neste handtrykk avsluttar ikkje ein tunnel som alt står. Viss eininga må koplast frå no, bruk òg den autoriserte øktsstyringsvegen til serveren for nettopp den økta. Elles kan klienten halda fram med å verka til han koplar til på nytt sjølv, og å lukka loket på den berbare PC-en eller avslutta klienten er ei handling på klientsida som ikkje seier noko om serveren.

Stadfest begge utfalla: den aktive økta stoppar når du vil, og eit nytt handtrykk blir nekta. Eit lukka klientvindauge provar ingenting om policyen til serveren.

Viss utrulleringa ikkje har ein støtta måte å avslutta ei aktiv økt på, registrer det gapet i staden for å improvisera ein. Ein blokkert port på klienten er ikkje det same som ein policy på serversida.

Pause og kompromittering er ulike hendingar

Ein tapt eller stolen nøkkel er ei attkallingshending, og ein lokal tilgangspause erstattar han ikkje. Andre serverar som stolar på same CA, deler ikkje denne klientspesifikke regelen til serveren. Følg attkallings- og erstatningsprosessen til utstedaren og hald databasen til CA-en som den autoritative posten. Ein mellombels pause krev derimot ein dokumentert grunn og eit gjenopprettingstrinn.

Når tilgangen er gjenoppretta, fjern avgrensinga via komponenten som eig henne, og stadfest at ei ny tilkopling lukkast. Registrer òg stien til disable-linja, fordi ein seinare konfigurasjonssynkronisering kan setja henne tilbake i det stille. Hald pausen, eigaren hans og datoen i utrulleringsnotata, slik at neste administrator ikkje finn ei uforklart disable-linje månader seinare.