එක් OpenVPN සේවාලාභියෙකු විරාම කිරීම: අවලංගු කිරීම වැරදි ලීවරය වන්නේ ඇයි

එක් සේවාලාභියෙකුගේ ප්‍රවේශය විරාම කිරීම සහ ඔහු සදාකාලිකව ඉවත් කිරීම එකම කාර්යයක් ලෙස පෙනේ, එකක් ආපසු හැරවීමට උත්සාහ කරන තෙක්. සහතිකයක් අවලංගු කිරීම සේවාදායකයා අවසාන ලෙස සලකන වාර්තාවක් ලියයි, එය ආපසු හැරවීම යනු නිකුත් කරන්නාගේ දත්ත සමුදාය අතින් සංස්කරණය කිරීමයි. ක්‍රියාකාරී උමග අත්හැරීම විශ්වාසයේ කිසිවක් නොවෙනස් කරන කළමනාකරණ විධානයකි. යතුර තවමත් විශ්වාසදායකද යන්න ඇසීමෙන් ලීවරය තෝරන්න, ඉල්ලීම කෙතරම් හදිසියේද යන්න ඇසීමෙන් නොව.

විශ්වාසය: අවලංගු කළ සහ තාවකාලිකව නතර කළ එකම දෙයකි

කොන්ත්‍රාත්කරුවෙකු සතියක් තාවකාලිකව නතර කරන විට ප්‍රතිචාරය අවලංගු කිරීමයි, මන්ද අවලංගු කිරීම යමක් නිවා දැමීමක් ලෙස ඇසේ. එය පිළිවෙළට පෙනේ, තත්පර දහයක් ගනී, සහ ආපසු යාමට ඇති එකම මාර්ගය ලෙස දත්ත සමුදාය සංස්කරණය ඉතිරි කරයි. මෙම ප්‍රතිචාරය තේරුම් ගත හැකි අතර එය දොරක් වැසීමට වඩා විදෙස් ගමන් බලපත්‍රයක් පිළිස්සීමට සමීපය. තාවකාලිකව නතර කළ උපාංගයක් සහ හෙළිදරව් වූ යතුරක් වෙනස් ආකල්පයක් අවශ්‍ය වන අතර, ඒවායින් එකක් පමණක් ලාභදායී ලෙස ආපසු හැරවිය හැක.

වෙනස පුද්ගලයාගේ නොව අක්‍රමාංකනයේ ය. නිවැරදි අත්වල තවමත් ඇති යතුරක් විශ්වාසයේ කිසිදු අලාභයකින් තොරව විරාම කර නැවත ආරම්භ කළ හැක. පිටපත් වී තිබිය හැකි යතුරක් කිසිදා ප්‍රතිසාධනය නොකළ යුතුය, මන්ද ප්‍රතිසාධනය පවසන්නේ පිටපත නොපවතින බවයි.

පද්ධති දෙකෙන් එකකටවත් ස්පර්ශ කිරීමට පෙර පිළිතුර ලියන්න. යතුර හෙළිදරව් වී ඇත්දැයි පැවසිය නොහැකි නම්, සංරක්ෂණශීලී පිළිතුර ප්‍රතිස්ථාපනයයි.

කළමනාකරණ අතුරුමුහුණත සමඟ ක්‍රියාකාරී සැසිය අත්හරින්න

OpenVPN සැසි ලැයිස්තුගත කර ඒවායින් එකක් පොදු නාමයෙන් ඝාතනය කළ හැකි කළමනාකරණ අතුරුමුහුණතක් සපයයි. එය localhost මත සක්‍රීය කර, පොදු අතුරුමුහුණතින් ඈත් කර, සැසියක් දැන්ම අතුරුදහන් විය යුතු විට ඝාතන විධානය යවන්න. විධානය එම උමග පමණක් වසා දමන අතර, අනෙක් සෑම සේවාලාභියාම දිගටම ක්‍රියා කරයි.

මෙය ක්‍රියාකාරී ගැටලුවකට දෙන පිළිතුරකි, විරාම ප්‍රතිපත්තියක් නොවේ. එම පැතිකඩම මිනිත්තුවකින් නැවත සම්බන්ධ විය හැක, මන්ද එහි අක්‍රමාංකනයේ කිසිවක් වෙනස් වී නැත. සැසිය යා යුතු අතර දිගුකාලීන තීරණය තවම ගනිමින් සිටින විට එය භාවිත කරන්න.

ඝාතනය කිරීමට පෙර සැසිය සම්බන්ධ වී තිබුණි බව තහවුරු කරන්න, කිසිදා සම්බන්ධ නොවූ සේවාලාභියෙකු සොයා නොයන පිණිස. පහත තත්ත්ව විධානය දැන් සම්බන්ධව ඇති දේ මුද්‍රණය කරයි.

printf 'status 2\nquit\n' | nc 127.0.0.1 7506
printf 'kill kiosk-14\nquit\n' | nc 127.0.0.1 7506

ඝාතන විධානය එවැනි සේවාලාභියෙකු නොමැති බව පැවසුවහොත්, සහතිකයේ ඇති පොදු නාමය ඔබ ටයිප් කළ තන්තුව නොවේ. පැතිකඩ ගොනුවේ නාමය වෙනුවට තත්ත්ව ප්‍රතිදානය කියවන්න.

CRL සැබවින්ම පාලනය කරන්නේ කුමක්ද

සේවාදායකයා සහතිකයේ ගබඩා කර ඇති අවලංගු කිරීමේ ධජයක් නොබලයි. එය crl-verify හි නම් කර ඇති සහතික අවලංගු කිරීමේ ලැයිස්තුව සෑම නව සම්බන්ධතාවකදීම කියවා, එම ලැයිස්තුවේ අනුක්‍රමික අංකය ඇති සහතිකය ප්‍රතික්ෂේප කරයි. එයින් ප්‍රතිවිපාක දෙකක් එන අතර, දෙකම මෙහෙයුම් අතින් වැදගත් ය. ගොනුව සේවාදායකයා තම වරප්‍රසාද පවරන ගිණුමට කියවිය හැකි විය යුතු අතර, දැනටමත් සම්බන්ධ වී සිටින සේවාලාභියා නැවත සම්බන්ධ වන තෙක් දිගටම ක්‍රියා කරයි.

දෙවන ප්‍රතිවිපාකය සිද්ධි අතරතුර මිනිසුන් පුදුමයට පත් කරයි. සහතිකයක් අවලංගු කිරීම දැන් එය භාවිත කරන උමග වසා දමන්නේ නැත. සැසිය වහාම අවසන් විය යුතු නම් අවලංගු කිරීම කළමනාකරණ ඝාතනයක් සමඟ යුගල කර, ක්‍රියා දෙකම අත්පොතේ වෙන වෙනම පියවර ලෙස සලකන්න.

සේවාදායකයා සැබවින්ම බලාත්මක කරන්නේ කුමක්දැයි බැලීමට ලැයිස්තුව පරීක්ෂා කරන්න, ඔබ පිටපත් කළ අවසාන ගොනුවේ වේලා මුද්‍රාව විශ්වාස කිරීම වෙනුවට. වැදගත් කොටස අනුක්‍රමික අංක ගණනයි.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | sed -n '1,14p'
ls -l /etc/openvpn/server/crl.pem

සටහන් නොමැති ලැයිස්තුවක් සහ නිවැරදි සටහන් ඇති ලැයිස්තුවක් නාමාවලි ලැයිස්තුවක එකම ලෙස පෙනේ, එබැවින් අනුක්‍රමික අංක ගණන මුද්‍රණය කිරීම වටී. අවසර පේළියද එතරම්ම වැදගත් ය, මන්ද ඩේමන්ට කියවිය නොහැකි ගොනුවක් ප්‍රතික්ෂේප වූ සේවාලාභියෙකු මෙන් පෙනෙන අසාර්ථකත්වයක් ඇති කරයි.

වාර්තාවක් ප්‍රතිසාධනය කිරීම, ප්‍රවේශමෙන්

සහතිකයක් ප්‍රතිසාධනය කිරීම යනු නිකුතු දත්ත සමුදායේ වාර්තාවක් පෙරළා නව ලැයිස්තුවක් ප්‍රකාශයට පත් කිරීමයි. easy-rsa 3 එම දත්ත සමුදාය PKI නාමාවලිය යටතේ index.txt ලෙස තබා ගනී, පැරණි සැකැස්ම් වෙනත් අනුපිළිවෙලක් භාවිත කළහ. පේළියක් තත්ත්ව අකුරකින් සහ කල් ඉකුත්වන දිනයකින් ආරම්භ වේ. අවලංගු කළ පේළියක් අනුක්‍රමික අංකය, සහතික ගොනුවේ නාමය සහ වෙනස්කම් නාමය සමඟ ඉදිරියට යාමට පෙර අවලංගු කිරීම සඳහා වේලා මුද්‍රාවක් ඇතුළත් කරයි. පේළියක් ආපසු තැබීම යනු එම වේලා මුද්‍රාව මකා අකුර පෙරළීමයි, අනෙක් සියල්ල නොසැලෙන ලෙස තබා.

මුලින්ම ගොනුවේ උපස්ථයක් ගන්න, සහ සංස්කරණය පෙළ සංස්කාරකයක ටයිප් කරනවාට වඩා ස්ක්‍රිප්ටයක් ලෙස කරන්න. පේළියක කොපමණ ක්ෂේත්‍ර තිබේද යන්න වෙනස් කරන ටයිපෝ දෝෂයක් පසුව එකතු කරන සෑම සහතිකයකම නිකුතුව බිඳ දමයි. එබැවින් වෙනස්කම් ස්වයංක්‍රීය කර ස්පර්ශ කිරීමට පෙර ගොනුව පිටපත් කළ යුතුය.

එම නාමයේ දෙවන අවලංගු කිරීමද බොහෝ විට අසාර්ථක වේ, මන්ද පළමු ධාවනය එම සහතිකය සහ එහි යතුර මෙවලම ඒවා සොයා ගැනීමට අපේක්ෂා කරන නාමාවලිවලින් පිටතට ගෙන ගියේය. එවිට මෙවලමට අවලංගු කරන ලෙස ඉල්ලා ඇති දේ සොයා ගත නොහැක, සහ දෝෂ පණිවිඩය සැමවිටම හේතුව පැහැදිලි කරන්නේ නැත.

cp /etc/easy-rsa/pki/index.txt /root/index.txt.$(date +%F-%H%M)
grep -c '^R' /etc/easy-rsa/pki/index.txt
easyrsa gen-crl

නව ලැයිස්තුව ප්‍රකාශයට පත් කර, එහි හිමිකම නිවැරදි කර, සේවාදායකයාට එය කියවීමට සලස්වන්න. බොහෝ ස්ථාපනවල නැවත පූරණය ප්‍රමාණවත් ය, නමුත් තහවුරු කිරීම නව සම්බන්ධතාවකින් පැමිණිය යුතුය, මන්ද පවතින සැසිය කිසිවක් නැවත පරීක්ෂා කර නැත.

නඩුවට ගැළපෙන ලීවරය කුමක්දැයි පරීක්ෂා කරන්න

මුළු අත්පොතම තීරණය කරන එකම ප්‍රශ්නය අසන්න: පෞද්ගලික යතුර තවමත් තිබිය යුතු තැන පමණක් තිබේද. එසේ නම්, සැසිය ඝාතනය කිරීම සහ ලේඛනගත විරාමය නඩුව ආවරණය කරන අතර ස්ථිර වාර්තාවක් ඉතිරි නොකරයි. එසේ නොවේ නම්, එකම ආරක්ෂිත පිළිතුර නව යතුරක් වන අතර පැරණි සහතිකය අවලංගු කර තබනු ලැබේ.

පසුව ප්‍රතිඵලය වින්‍යාස වෙනසකින් නොව සම්බන්ධතා උත්සාහයකින් සත්‍යාපනය කරන්න. වෙනස ඔබ අදහස් කළ දේ පවසන අතර, සම්බන්ධතාව සේවාදායකයා බලාත්මක කරන දේ පවසයි.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | grep -c 'Serial Number'
printf 'status 2\nquit\n' | nc 127.0.0.1 7506

ප්‍රතිසාධනය කළ සේවාලාභියා සම්බන්ධ වී තත්ත්ව ප්‍රතිදානයේ දිස්වුවහොත්, වාර්තා සංස්කරණය ක්‍රියා කළේය. අවලංගු කළ සේවාලාභියා ප්‍රතික්ෂේප වී ලොගය CRL නම් කළහොත්, අවලංගු කිරීම ක්‍රියා කළේය. ඒවා අතර ඇති ඕනෑම දෙයක් අවසර හෝ නැවත පූරණ ගැටලුවකි, එය ඊළඟ ඉල්ලීම පැමිණීමට පෙර නිවැරදි කිරීම වටී.