Suspender um cliente OpenVPN sem revogar o seu certificado

Quando um portátil vai para a bancada de reparação durante uma semana, o instinto habitual é remover o seu certificado da CA. Esse registo é o livro do emissor, não um interruptor temporário de acesso. OpenVPN já tem um mecanismo por cliente para recusar uma ligação, e usá-lo mantém a história da CA intacta. Os dois controlos respondem a perguntas diferentes, e misturá-los cria trabalho quando o dispositivo regressa.

Dois registos, dois trabalhos diferentes

A base de dados da CA registra o que o emissor assinou e o que revogou depois. É consultada pelos fluxos de revogação e por tudo o que lê a CRL ou a sua própria cópia do registo. Uma regra de admissão vive no servidor e aplica-se às ligações que esse servidor aceita.

Eliminar um registo de emissão não revoga um certificado de forma fiável e danifica a história de que dependem a revogação ou a auditoria posteriores. O controlo do lado do servidor é mais estreito e reversível. Escreva a diferença na nota de alteração para que a próxima pessoa não procure uma revogação que nunca aconteceu.

Coloque a diretiva de desativação no ficheiro certo

Para um servidor comunitário que usa configuração específica por cliente, a diretiva documentada disable recusa um cliente selecionado. Pertence ao ficheiro desse cliente sob o client-config-dir ativo, não à configuração principal do servidor. Confirme o diretório que o daemon em execução realmente usa e, em seguida, confirme a identidade que seleciona o ficheiro. Um ficheiro nomeado com o nome comum errado parece correto e nunca é lido.

disable

As escolhas de mapeamento importam aqui. Opções como username-as-common-name mudam que identidade a pesquisa usa, pelo que um ficheiro nomeado com o sujeito do certificado pode não ser o que é aplicado. Leia a referência do OpenVPN da versão instalada em vez de assumir que uma diretiva é válida em todos os contextos.

Separe a nova admissão das sessões ativas

Recusar o próximo handshake não termina um túnel que já está de pé. Se o dispositivo tiver de ser desligado agora, use também o caminho autorizado de gestão de sessões do servidor para essa sessão específica. Caso contrário, o cliente pode continuar a funcionar até se reconectar sozinho, e fechar a tampa do portátil ou sair do cliente é uma ação do lado do cliente que não diz nada sobre o servidor.

Verifique os dois resultados: a sessão ativa pára quando quer, e um novo handshake é recusado. Uma janela de cliente fechada não prova nada sobre a política do servidor.

Se a implantação não tiver uma forma suportada de terminar uma sessão ativa, registe essa lacuna em vez de improvisar uma. Uma porta bloqueada no cliente não é o mesmo que uma política do lado do servidor.

Pausa e compromisso são eventos distintos

Uma chave perdida ou roubada é um evento de revogação, e uma pausa local de acesso não o substitui. Os outros servidores que confiam na mesma CA não partilham esta regra específica do cliente. Siga o processo de revogação e substituição do emissor e mantenha a base de dados da CA como registo autoritativo. Uma pausa temporária, em contrapartida, exige um motivo documentado e um passo de restauração.

Quando o acesso for restabelecido, remova a restrição através do componente que a possui e confirme que uma nova ligação é bem-sucedida. Registe também o caminho da linha disable, porque uma sincronização de configuração posterior pode repô-la em silêncio. Guarde a pausa, o seu proprietário e a data nas notas de implantação, para que o administrador seguinte não encontre meses depois uma linha disable sem explicação.