Sett én OpenVPN-klient på pause uten å tilbakekalle sertifikatet

Når en bærbar PC havner en uke på reparasjonsbenken, er den vanlige impulsen å fjerne sertifikatet dens fra CA-en. Den posten er utstederens protokoll, ikke en midlertidig tilgangsbryter. OpenVPN har allerede en mekanisme per klient for å nekte en tilkobling, og å bruke den holder CA-ens historikk intakt. De to kontrollene svarer på ulike spørsmål, og å blande dem skaper arbeid når enheten kommer tilbake.

To protokoller, to forskjellige oppgaver

CA-ens database registrerer hva utstederen signerte og hva den senere tilbakekalte. Den blir spurt av tilbakekallingsprosesser og av alt som leser CRL-en eller sin egen kopi av protokollen. En tilgangsregel bor på serveren og gjelder for tilkoblingene den serveren godtar.

Å slette en utstedelsespost tilbakekaller ikke et sertifikat pålitelig, og det skader historikken som senere tilbakekalling eller revisjon er avhengig av. Kontrollen på serversiden er smalere og reversibel. Skriv forskjellen i endringsnotatet, så neste person ikke leter etter en tilbakekalling som aldri fant sted.

Legg deaktiveringsdirektivet i riktig fil

For en fellesskapsserver som bruker klientspesifikk konfigurasjon, avviser det dokumenterte disable-direktivet én valgt klient. Det hører hjemme i den klientens fil under den aktive client-config-dir, ikke i serverens hovedkonfigurasjon. Bekreft katalogen den kjørende daemonen faktisk bruker, og bekreft deretter identiteten som velger filen. En fil oppkalt etter feil vanlig navn ser riktig ut og blir aldri lest.

disable

Valg av mapping betyr noe her. Alternativer som username-as-common-name endrer hvilken identitet oppslaget bruker, så en fil oppkalt etter sertifikatets subjekt er kanskje ikke den som brukes. Les OpenVPN-referansen for den installerte versjonen i stedet for å anta at et direktiv er gyldig i enhver sammenheng.

Skilj ny tilgang fra aktive økter

Å avvise neste håndtrykk avslutter ikke en tunnel som allerede er oppe. Hvis enheten må kobles fra nå, bruk også serverens autoriserte øktsstyringsvei for nettopp den økten. Ellers kan klienten fortsette å virke til den kobler til på nytt selv, og å lukke lokket på den bærbare PC-en eller avslutte klienten er en handling på klientsiden som ikke sier noe om serveren.

Bekreft begge utfallene: den aktive økten stopper når du vil, og et nytt håndtrykk nektes. Et lukket klientvindu beviser ingenting om serverens policy.

Hvis utrullingen ikke har en støttet måte å avslutte en aktiv økt på, registrer det gapet i stedet for å improvisere en. En blokkert port på klienten er ikke det samme som en policy på serversiden.

Pause og kompromittering er forskjellige hendelser

En tapt eller stjålet nøkkel er en tilbakekallingshendelse, og en lokal tilgangspause erstatter den ikke. Andre servere som stoler på samme CA, deler ikke denne serverens klientspesifikke regel. Følg utstederens tilbakekallings- og erstatningsprosess og hold CA-ens database som den autoritative posten. En midlertidig pause krever derimot en dokumentert grunn og et gjenopprettingstrinn.

Når tilgangen er gjenopprettet, fjern begrensningen via komponenten som eier den, og bekreft at en ny tilkobling lykkes. Registrer også stien til disable-linjen, fordi en senere konfigurasjonssynkronisering kan sette den tilbake i det stille. Hold pausen, dens eier og datoen i utrullingsnotatene, slik at neste administrator ikke finner en uforklart disable-linje måneder senere.