د یو OpenVPN کلاینټ تم کول: ولې لغوه کول غلط اهر دی

د یو کلاینټ لاسرسی تم کول او د تل لپاره لرې کول یو شان کار ښکاري، تر هغه چې د دواړو یو بېرته راګرځولو هڅه ونه کړئ. د سند لغوه کول یو ریکارډ لیکي چې سرور یې پایلي بولي، او بېرته یې راګرځول پدې معنا دي چې د صادروونکي ډیټابیس په لاس سم کړئ. د ژوندي ټنل غورځول یو مدیریتي فرمان دی چې په باور کې هېڅ نه بدلوي. اهر د دې پوښتنې په کولو غوره کړئ چې آیا کیلي لا هم د باور وړ ده، نه د دې پوښتنې په کولو چې غوښتنه څومره بیړنې ښکاري.

باور: لغوه شوی او ځنډول شوی یو شی دی

یو قراردادي یوه اونۍ ځنډول کیږي او لومړنی غبرګون لغوه کول دی، ځکه چې لغوه کول د یو شي بندولو غوندې اوریدل کیږي. ښه سمون لري، لس ثانیې نیسي، او د بېرته تګ یوازینې لار د ډیټابیس سمون پریږدي. دا غبرګون د پوهیدو وړ دی او د دروازې بندولو په پرتله د پاسپورټ سوځولو ته نږدې دی. ځنډول شوی وسیله او افشا شوې کیلي بېلابېل چلند ته اړتیا لري، او یوازې یو له دواړو څخه په ارزانه توګه بېرته ګرځول کیدای شي.

توپیر د شخص په اړه نه، بلکې د اعتبار پاڼې په اړه دی. هغه کیلي چې لا هم په سم لاس کې ده، پرته له کوم باور له لاسه ورکولو تم او بیا پیل کیدای شي. هغه کیلي چې کېدای شي کاپي شوې وي باید هېڅکله بېرته را نه شي، ځکه چې بېرته راوستل ادعا کوي چې کاپي نشته.

د دواړو سیستمونو له یوې هم لاس وړاندې ځواب ولیکئ. که ونه شئ ویلای چې کیلي افشا شوې ده که نه، محافظه کار ځواب بدلول دی.

د مدیریتي انټرفیس سره ژوندی سیشن وغورځوئ

OpenVPN د مدیریتي انټرفیس وړاندې کوي چې سیشنونه لیست کولی شي او د یو عام نوم له مخې یو له هغو ووژني. هغه په localhost فعال کړئ، له عامه انټرفیس څخه یې لرې وساتئ، او کله چې سیشن باید همدا اوس ورک شي د وژلو فرمان واستوئ. فرمان یوازې هغه ټنل بندوي، او هر بل کلاینټ کار ته دوام ورکوي.

دا د فعالې ستونزې ځواب دی، نه د ځنډولو تګلاره. هماغه پروفایل کولای شي په یوه دقیقه کې بیا ونیول شي، ځکه چې د هغه په اعتبار پاڼه کې هېڅ نه دی بدل شوی. هغه وخت یې وکاروئ چې سیشن باید لاړ شي او دوامداره پریکړه لا هم کیږي.

له وژلو وړاندې تایید کړئ چې سیشن نښلول شوی و، تر څو د هغه کلاینټ تعقیب مه کوئ چې هېڅکله نښلول شوی نه وي. لاندې حالت فرمان چاپوي چې اوس څه نښلول شوي دي.

printf 'status 2\nquit\n' | nc 127.0.0.1 7506
printf 'kill kiosk-14\nquit\n' | nc 127.0.0.1 7506

که د وژلو فرمان ووایي چې داسې کلاینټ نشته، په سند کې عام نوم هغه تار نه دی چې تاسو ټایپ کړی. د پروفایل د فایل نوم پر ځای د حالت تولید ولولئ.

CRL په حقیقت کې څه کنټرولوي

سرور په سند کې ساتل شوې د لغوه کولو بیرغ ته نه ګوري. هغه په crl-verify کې نومول شوې د سندونو د لغوه کولو لیست په هر نوي اتصال کې لولي، او هغه سند ردوي چې کرښیز شمیره یې په هغه لیست کې وي. له دې دوه پایلې راځي، او دواړه عملیاتي پلوه مهمې دي. فایل باید د هغه حساب لپاره لوستل کیدونکی وي چې سرور خپل امتیازات هغه ته سپاري، او هغه کلاینټ چې مخکې نښلول شوی وي تر هغه پورې چلیږي چې بیا ونیول شي.

دوهمه پایله د پیښو پر مهال خلک حیرانوي. د سند لغوه کول هغه ټنل نه بندوي چې همدا اوس یې کاروي. که سیشن باید سمدلاسه پای ته ورسیږي، لغوه کول د مدیریتي وژلو سره یوځای کړئ، او دواړه کړنې په لارښود کې بېل ګامونه وګڼئ.

لیست وګورئ تر څو ووینئ چې سرور به په حقیقت کې څه پلي کوي، د هغه وروستي فایل د وخت نښې ته د باور کولو پر ځای چې تاسو کاپي کړی. مهمه برخه د کرښیزو شمېرو شمېر دی.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | sed -n '1,14p'
ls -l /etc/openvpn/server/crl.pem

هغه لیست چې نوښتونه نلري او هغه لیست چې سم نوښتونه لري په لارښود لیست کې یو شان ښکاري، نو د کرښیزو شمېرو شمېر چاپول ارزښت لري. د اجازې کرښه هم هماغومره مهمه ده، ځکه چې هغه فایل چې ډیمون یې نه شي لوستلای د رد شوي کلاینټ په څېر ناکامي پیدا کوي.

ریکارډ بېرته راوستل، په احتیاط

د سند بېرته راوستل پدې معنا دي چې په صادراتي ډیټابیس کې یو ریکارډ وګرځوئ او نوی لیست خپور کړئ. easy-rsa 3 هغه ډیټابیس د PKI لارښود لاندې د index.txt په توګه ساتي، پداسې حال کې چې زاړه ترتیبات بل ډول وو. یوه کرښه د حالت توري او د پای تاریخ پیل کیږي. لغوه شوې کرښه د لغوه کولو لپاره د وخت نښه ورننوځي، مخکې لدې چې د کرښیزې شمېرې، د سند د فایل نوم او د توپیر نوم سره دوام ورکړي. کرښه بېرته ایښودل پدې معنا دي چې هغه وخت نښه پاکه کړئ او توری وګرځوئ، پداسې حال کې چې نور هر څه ارام پریږدئ.

لومړی د فایل کاپي واخلئ، او سمون د متن سمونکي کې د ټایپ کولو پر ځای د سکریپټ په توګه وکړئ. هغه ټایپو چې بدلوي څو ساحې یوه کرښه لري، د هر هغه سند لپاره چې وروسته ورزیات شي صادرات ماتوي. همدا لامل دی چې بدلون باید اتومات شي او فایل باید له لاس وهلو وړاندې کاپي شي.

د هماغه نوم دوهم لغوه کول هم ډېری وخت ناکام کیږي، ځکه چې لومړي منډې هغه سند او د هغه کیلي له هغو لارښودونو څخه بهر کړل چې وسیله یې د موندلو تمه لري. بیا وسیله هغه نه شي موندلای چې لغوه یې کړي، او د غلطۍ پیغام تل روښانه نه کوي چې ولې.

cp /etc/easy-rsa/pki/index.txt /root/index.txt.$(date +%F-%H%M)
grep -c '^R' /etc/easy-rsa/pki/index.txt
easyrsa gen-crl

نوی لیست خپور کړئ، د هغه مالکیت سم کړئ، او سرور ته یې د لوستلو اجازه ورکړئ. په ډېرو نصبونو کې بیا بارول کافي دي، مګر تایید باید له نوي اتصال څخه راشي، ځکه چې موجود سیشن هېڅ بیا نه دی کتلی.

وګورئ چې قضیه کوم اهر مستحق دی

یوه پوښتنه وکړئ چې ټول لارښود معلوموي: آیا شخصي کیلي لا هم یوازې هغه ځای کې ده چې باید وي. که همداسې وي، د سیشن وژل او مستند ځنډ قضیه پوښي او هېڅ دوامداره ریکارډ نه پریږدي. که نه، یوازینی خوندي ځواب نوې کیلي ده، او زوړ سند لغوه پاتې کیږي.

بیا پایله د اتصال هڅې سره وازموئ، نه د ترتیباتو توپیر سره. توپیر تاسو ته وایي چې ستاسو اراده څه وه، او اتصال وایي چې سرور څه پلي کوي.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | grep -c 'Serial Number'
printf 'status 2\nquit\n' | nc 127.0.0.1 7506

کله چې بېرته راوستل شوی کلاینټ ونښلي او په حالت تولید کې ښکاره شي، د ریکارډ سمون کار وکړ. کله چې لغوه شوی کلاینټ رد شي او لاګ د CRL نوم واخلي، لغوه کول کار وکړ. د دواړو ترمنځ هر څه د اجازې یا بیا بارولو ستونزه ده، او د راتلونکې غوښتنې له راتلو وړاندې یې سمول ارزښت لري.