Suspendă un client OpenVPN fără a-i revoca certificatul

Când un laptop ajunge o săptămână pe bancul de reparații, instinctul obișnuit este să-i elimini certificatul din CA. Acea înregistrare este registrul emitentului, nu un comutator temporar de acces. OpenVPN are deja un mecanism pe client pentru a refuza o conexiune, iar folosirea lui păstrează intactă istoria CA. Cele două controale răspund la întrebări diferite, iar amestecarea lor creează muncă atunci când dispozitivul revine.

Două registre, două sarcini diferite

Baza de date a CA înregistrează ce a semnat emitentul și ce a revocat ulterior. Ea este interogată de fluxurile de revocare și de tot ce citește CRL-ul sau propria copie a registrului. O regulă de admitere trăiește pe server și se aplică conexiunilor pe care acel server le acceptă.

Ștergerea unei înregistrări de emitere nu revocă certificatul în mod fiabil și deteriorează istoria de care depind revocarea sau auditul ulterior. Controlul din partea serverului este mai îngust și reversibil. Scrie diferența în nota de modificare, astfel încât următoarea persoană să nu caute o revocare care nu a avut loc niciodată.

Pune directiva de dezactivare în fișierul corect

Pentru un server comunitar care folosește configurație specifică clientului, directiva documentată disable refuză un client selectat. Ea aparține fișierului acelui client din client-config-dir activ, nu configurației principale a serverului. Confirmă directorul pe care demonul care rulează îl folosește efectiv, apoi confirmă identitatea care selectează fișierul. Un fișier numit după numele comun greșit pare corect și nu este citit niciodată.

disable

Alegerea mapării contează aici. Opțiuni precum username-as-common-name schimbă identitatea folosită de căutare, așa că un fișier numit după subiectul certificatului poate să nu fie cel aplicat. Citește referința OpenVPN pentru versiunea instalată, în loc să presupui că o directivă este validă în orice context.

Separă admiterea nouă de sesiunile active

Refuzarea următorului handshake nu încheie un tunel deja ridicat. Dacă dispozitivul trebuie deconectat acum, folosește și calea autorizată de gestionare a sesiunilor a serverului pentru acea sesiune anume. Altfel clientul poate continua să funcționeze până se reconectează singur, iar închiderea capacului laptopului sau ieșirea din client este o acțiune din partea clientului care nu spune nimic despre server.

Verifică ambele rezultate: sesiunea activă se oprește când vrei, iar un handshake nou este refuzat. O fereastră de client închisă nu dovedește nimic despre politica serverului.

Dacă implementarea nu are o modalitate acceptată de a încheia o sesiune activă, consemnează această lipsă în loc să improvizezi una. Un port blocat pe client nu este același lucru cu o politică din partea serverului.

Pauză și compromitere sunt evenimente diferite

O cheie pierdută sau furată este un eveniment de revocare, iar o pauză locală de acces nu îl înlocuiește. Alte servere care au încredere în aceeași CA nu vor împărtăși această regulă specifică clientului. Urmează procesul de revocare și de înlocuire al emitentului și păstrează baza de date a CA ca registru autoritativ. O pauză temporară, în schimb, necesită un motiv documentat și un pas de restaurare.

Când accesul este restabilit, elimină restricția prin componenta care o deține și confirmă că o conexiune nouă reușește. Notează și calea liniei disable, deoarece o sincronizare ulterioară a configurației o poate pune la loc în tăcere. Păstrează pauza, proprietarul ei și data în notele de implementare, astfel încât următorul administrator să nu găsească luni mai târziu o linie disable neexplicată.