یو OpenVPN کلاینټ ایستل: kill، deny که سند منسوخول؟
د OpenVPN درې کړنې کلاینټ لرې کوي، خو هر یو بل څه پای ته رسوي: ژوندې ناسته، یوه ننوتنې هڅه، یا د بیا نښلولو حق۔ د هویت له مخې وټاکئ۔
ستاسو په یادښتونو کې یو common name او یوه پته ده، او درې حکمونه چې ټول کلاینټ لرې کوي ښکاري۔ یوازې یو هغه څه کوي چې تاسو یې غواړئ، او ټاکنه په دې پورې اړه لري چې ایا اوس روانه ناسته پای ته ورسوئ، بله ننوتنه رد کړئ، که د نښلولو حق په بشپړه توګه واخلئ۔ له هر څه لاس وهلو دمخه هغه هویت ولولئ چې واقعاً یې لرئ، ځکه د OpenVPN حوض وروسته هماغه تونل پته بلې ناستې ته ورکوي۔
واقعاً کوم هویت لرئ
د 3 نسخې حالت فایل معمول پیل ټکی دی۔ CLIENT_LIST برخه common name، ریښتینې پته، بایټ شمارونکي او د نښلولو وخت لري؛ ROUTING TABLE برخه مجازي پته له common name سره د وروستي حوالې د وخت ټاپ سره یوځای کوي۔ common name ثابت هویت دی۔ مجازي پته یوه ټاکنه ده، او د NAT شاته ریښتینې پته کولای شي د ناستو ترمنځ بدله شي پرته له دې چې په سرور کې څه بدل شي۔
د مدیریت انټرفیس د خپل status حکم له لارې ورته انځور ښيي او د هرې ناستې لپاره کلاینټ ID زیاتوي۔ client-kill هماغه ID ته انتظار کوي، او دا د تونل پته نه ده۔ که تاسو پوهېږئ چې کوم common name د نښلولو په وخت کې کومه پته واخیسته، د client-connect سکریپټ چاپېریال دواړه لري، د باوري بهرنۍ پتې سره یوځای، خو هغه سکریپټ د OpenVPN کارن په توګه ځي او د لیکل کېدونکې لاګ لارې ته اړتیا لري۔
| What you hold | Where it came from | What it can act on |
|---|---|---|
| Common name | CLIENT_LIST, or the auth hook | kill, and credential revocation |
| Client ID | status on the management socket | client-kill, that one session |
| Tunnel address | ROUTING TABLE, client-connect environment | Nothing durable, the address is recycled |
اوس ووژنه، په ننوتلو کې انکار وکړه، تل لپاره منسوخه کړه
په مدیریت انټرفیس کې دواړه د لرې کولو حکمونه د ناستې کړنې دي۔ kill common name یا ریښتینې پته او پورټ اخلي؛ client-kill کلاینټ ID اخلي او هماغه نسخه سمدلاسه پای ته رسوي۔ هیڅ یوه بندیز نه دی: د اعتبار وړ سند او پټنوم لرونکی ایستل شوی کلاینټ په ثانیو کې بیا نښلي، چې د ازموینې peer بیا کارولو پر مهال ښه دی او د لیپ ټاپ غلا کېدو پر مهال بې ګټې۔
client-deny د بل ډول پرېکړه ده۔ معمولاً د authentication یا client-connect هنګ څخه صادریږي او ناسته د دلیل سره ردوي، نو هغه پالیسي ته ځي چې ننوتنه ردوي نه هغې ته چې اړیکه پرې کوي۔ اسناد دا هم خبرداری ورکوي چې د TLS بیا خبرو اترو پر مهال صادر شوی انکار بیا هوکړه شوې کیلي باطلوي په داسې حال کې چې موجوده ناسته د لېږد کړکۍ تر بندېدو پورې روانه وي۔ که غوښتنه دا وي چې کلاینټ باید اوس لاړ وي، مستند ځواب client-kill دی۔
دوامداره لرې کول د دې ټولو لاندې دي۔ سند منسوخ کړئ او ډاډ ترلاسه کړئ چې crl-verify هغه لیست ته اشاره کوي چې سرور یې واقعاً بیا باروي، په ccd فولډر کې کلاینټ ځانګړی ترتیبات فایل غیر فعال کړئ، یا په هغه backend کې حساب غیر فعال کړئ چې authentication هنګ ترې پوښتنه کوي۔ منسوخول هم سمدلاسه نه دي: د reneg-sec تلواله ترتیباتو سره ټینګه شوې ناسته تر بیا خبرو اترو پورې روانه وي، نو د ناستې کړنه او د اعتبارنامې کړنه یو بل بشپړوي، بدیل نه دي۔
ایا د مدیریت ساکټ خالي دی؟
د مدیریت انټرفیس په یو وخت کې یو کلاینټ ته خدمت کوي۔ که GUI یا د څارنې ډیمون دمخه اړیکه نیولې وي، ستاسو سکریپټ نشي کولای څنګ ته ورنښلي، او د کلاینټ له مخې تاسو کولای شئ موجوده وباسئ نه دا چې پاکه ناکامي وکړئ۔ د هغه پټنوم په هماغه ساکټ کې په روښانه متن کې سفر کوي، نو ځای یې محلي پته یا unix ساکټ دی، هېڅکله عامه انټرفیس نه۔
کله چې ساکټ نشئ اخیستلای، لا هم انتخابونه لرئ، او ټول ورو دي۔ که کنټرول یې لرئ لومړی د GUI ناسته پرېږدئ، یا د اعتبارنامې طبقې لاره ومنئ او بله بیا خبرې اترې ته انتظار وکړئ۔ هغه څه چې باید ونه کړئ دا دي چې د یو کلاینټ لرې کولو لپاره خدمت بیا پیل کړئ، ځکه دا هرې بلې ناستې ته هم پای ټکی دی او د دې ناستې د حالت فایل شواهد له منځه وړي۔
هغه ترتیب چې زه یې په ژوندي سرور کې چلوم
ونښلئ، اوسنی حالت ولولئ، پر هماغه ID عمل وکړئ چې همدا اوس ولولئ، بیا یې ولولئ۔ له سند څخه کاپي شوي ارزښتونه د ناسم کس د وژلو ترټولو عامه لاره ده۔
status # note the client ID and common name
client-kill 3 # end that session now
kill Test-Client # alternative: by common name
status # confirm the session is goneپورته نوم او شمېره ځای نیوونکي دي، او IDونه د نورو کلاینټونو له جلا کېدو وروسته بیا کارول کېږي۔ مخکې له دې چې یو څه بشپړ ولیکئ تصدیق کړئ چې کرښه نشته، او وګورئ چې د نښلول شوو کلاینټونو شمېر په یوه اندازه خوځېدلی نه په څو۔
تصدیق کړئ چې هغه بهر پاتې شو
common name، د تونل پته، بهرنۍ پته او د لرې کولو دقیقه ثبت کړئ۔ که هماغه common name یوه دقیقه وروسته بیا ښکاره شي، د ناستې کړنه کار وکړ او د اعتبارنامې طبقه نه، چې له هغه حکم څخه په بشپړه توګه بېله سمون ده چې هېڅکله نافذ نه شو۔
بیا د کلاینټ له خوا ازموینه وکړئ۔ منسوخ شوی سند باید په بله لاس ورکولو کې ناکام شي؛ که لا هم نښلي، CRL په بشپړه توګه نه لوستل کېږي، او دا هغه موندنه ده چې راپور ورکول یې ارزښت لري۔ کړنه د هغه څه له مخې وټاکئ چې پای ته رسول غواړئ، د دوهم status سره تصدیق کړئ، او کله چې ځواب باید له ناستې اوږد وي د اعتبارنامې طبقه سمه کړئ۔