Zawieś jednego klienta OpenVPN bez odwoływania jego certyfikatu

Gdy laptop trafia na tydzień na stół naprawczy, zwykłym odruchem jest usunięcie jego certyfikatu z CA. Ten wpis to rejestr wystawcy, a nie tymczasowy przełącznik dostępu. OpenVPN ma już mechanizm dla każdego klienta pozwalający odmówić połączenia, a jego użycie zachowuje historię CA w nienaruszonym stanie. Dwie kontrole odpowiadają na różne pytania, a mieszanie ich tworzy pracę, gdy urządzenie wraca.

Dwa rejestry, dwa różne zadania

Baza danych CA zapisuje, co wystawca podpisał i co później odwołał. Sięgają do niej procesy odwoływania oraz wszystko, co czyta CRL lub własną kopię rejestru. Reguła dostępu żyje na serwerze i dotyczy połączeń, które ten serwer akceptuje.

Usunięcie wpisu wydania nie odwołuje certyfikatu wiarygodnie i niszczy historię, od której zależy późniejsze odwołanie lub audyt. Kontrola po stronie serwera jest węższa i odwracalna. Zapisz różnicę w nocie zmian, aby następna osoba nie szukała odwołania, które nigdy nie nastąpiło.

Umieść dyrektywę wyłączania we właściwym pliku

Dla serwera społecznościowego, który używa konfiguracji właściwej dla klienta, udokumentowana dyrektywa disable odmawia jednemu wybranemu klientowi. Należy ona do pliku tego klienta w aktywnym client-config-dir, a nie do głównej konfiguracji serwera. Sprawdź katalog, którego faktycznie używa działający demon, a następnie potwierdź tożsamość wybierającą plik. Plik nazwany złą nazwą wspólną wygląda poprawnie i nigdy nie jest czytany.

disable

Wybory mapowania mają tu znaczenie. Opcje takie jak username-as-common-name zmieniają tożsamość używaną przez wyszukiwanie, więc plik nazwany według podmiotu certyfikatu może nie być tym stosowanym. Przeczytaj dokumentację OpenVPN dla zainstalowanej wersji, zamiast zakładać, że dyrektywa jest ważna w każdym kontekście.

Oddziel nowe dopuszczenie od aktywnych sesji

Odrzucenie następnego uścisku dłoni nie kończy tunelu, który już stoi. Jeśli urządzenie musi zostać odłączone teraz, użyj także autoryzowanej ścieżki zarządzania sesjami serwera dla tej konkretnej sesji. W przeciwnym razie klient może działać dalej, aż sam się ponownie połączy, a zamknięcie pokrywy laptopa lub wyjście z klienta to działanie po stronie klienta, które nic nie mówi o serwerze.

Sprawdź oba wyniki: aktywna sesja zatrzymuje się, gdy chcesz, a nowy uścisk dłoni jest odrzucany. Zamknięte okno klienta niczego nie dowodzi w kwestii polityki serwera.

Jeśli wdrożenie nie ma obsługiwanego sposobu zakończenia aktywnej sesji, zapisz tę lukę, zamiast ją wymyślać. Zablokowany port na kliencie to nie to samo co polityka po stronie serwera.

Pauza i kompromitacja to różne zdarzenia

Zgubiony lub skradziony klucz to zdarzenie odwołania, a lokalna pauza dostępu go nie zastępuje. Inne serwery ufające tej samej CA nie będą dzielić tej reguły właściwej dla klienta tego serwera. Postępuj zgodnie z procesem odwołania i wymiany wystawcy i utrzymuj bazę danych CA jako rejestr autorytatywny. Tymczasowa pauza natomiast wymaga udokumentowanego powodu i kroku przywrócenia.

Gdy dostęp zostanie przywrócony, usuń ograniczenie przez komponent, który je posiada, i potwierdź, że nowe połączenie się udaje. Zapisz także ścieżkę wiersza disable, ponieważ późniejsza synchronizacja konfiguracji może go po cichu przywrócić. Przechowuj pauzę, jej właściciela i datę w notatkach wdrożeniowych, aby następny administrator nie znalazł po miesiącach niewyjaśnionego wiersza disable.