Preklican odjemalec se še vedno povezuje: seznam ni nikoli prispel

Preklic nikoli ne prodre v delujoč tunel, da bi izbrisal sejo. Seznam je vhod za preverjanje potrdila in se bere med izmenjavo krmilnega kanala, ki začne sejo TLS. To eno dejstvo pojasni obe presenečenji: preklican odjemalec se znova poveže, ker seznam ni nikoli prispel do preverjevalnika, in obstoječa seja preživi, ker nihče ni ničesar znova preveril.

Seznam je vhod, ne dejanje

Med vzpostavljanjem seje strežnik preveri odjemalčevo potrdilo glede na svoje sidra zaupanja, direktiva preklica pa tej odločitvi doda iskanje po seznamu. Preverjanje poteka na strežniku, zato odjemalec ne more videti, da je bilo njegovo potrdilo preklicano, in še naprej ponuja isto. Profil, ki se še vedno povezuje, torej dokazuje le, da je neki preverjevalnik sprejel verigo, ne pa, da preklic ni uspel.

Seznam je sam podpisan predmet z datumom izdaje in datumom naslednje posodobitve. Nepovezan seznam, seznam, ki ga je podpisal drug organ, ali tisti, katerega datum naslednje posodobitve je potekel, ne nadomesti trenutnega, in ali se zastarel seznam zavrne ali tiho sprejme, je odvisno od uvedbe.

Nova povezava proti delujoči seji

Preklic se ovrednoti ob vzpostavitvi ali ponovni pogajalski seji, ne glede na podatkovni kanal pri vsakem paketu. Odjemalec, ki je že povezan, ima prometne ključe, zato še naprej spusti pakete, potem ko se njegovo potrdilo pojavi na seznamu. Privzeti interval ponovnega pogajanja se meri v urah, zato lahko posodobljen seznam začne veljati za nove, medtem ko delujoč tunel ostane.

Takojšnje uveljavljanje zahteva namerno dejanje in ne le seznama. Ponovni zagon storitve prisili vsakega odjemalca k ponovni povezavi, medtem ko prekinitev ene seje prek upravljalnega vmesnika pusti druge nedotaknjene. Izberite eno na dogodek in zapišite, katero ste uporabili. Obe možnosti imata različen doseg in to je resnična odločitev.

Dostavite datoteko, ki jo preverjevalnik res bere

Seznam je treba ustvariti iz evidence organa in nato kopirati na vsak stroj, ki preverja potrdila. Ustvariti ga na gostitelju CA in ga nikoli ne namestiti na strežnik je najpogostejša okvara in izgleda natanko kot pokvarjena funkcija preklica.

ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pem

Ali se datoteka res bere, odločita dve podrobnosti. Relativna pot se razreši glede na konfiguracijsko mapo, zato kopije, ki ostane v domači mapi upravljavca, morda nikoli ne najdejo. In demon običajno po zagonu odstopi privilegije, zato račun izvajanja potrebuje pravico iskanja v vsaki nadrejeni mapi in pravico branja datoteke. Preverite oboje z računom izvajanja in ne z root, sicer test dokaže napačno stvar.

Na gostiteljih systemd lahko utrjena enota pot tudi skrije, s pogledom samo za branje ali zaščiteno sistemsko mapo. Od znotraj storitve tega ni mogoče ločiti od manjkajoče datoteke, zato preverite omejitve enote, preden greste iskat napako v dovoljenjih. Preberite datoteko enote, preden obtožite način datoteke.

Potrdite na strežniku, ne na odjemalcu

Dnevnik strežnika poimenuje, kaj se je zgodilo: odpiranje seznama, njegovo nalaganje ali neuspešno preverjanje s preklicano serijsko številko. Odjemalec poroča le o splošni napaki rokovanja, zato so dnevniki odjemalca slab kraj za iskanje odločitve o preklicu.

Preverite s svežim poskusom iz preklicanega profila in nato ustavite. Uspešna povezava iz tega profila je signal, da preglejte pot datoteke in račun izvajanja, ne pa da domnevate, da je bil seznam napačen. Obdržite ta uspešni poskus kot sprejemni test in ne štejte ponovne povezave, ki je niste opazovali.

Kaj ničesar ne prekliče

Brisanje profila iz prenosnika, odstranitev datoteke potrdila iz odjemalca ali reči uporabniku, naj se neha povezovati, na strežniku nič ne spremeni. Potrdilo ostane veljavno, dokler organ ne zabeleži preklica in preverjevalnik ne prebere nastalega seznama.

Zato je verigo vredno zapisati: zabeležite preklic, ustvarite in podpišite seznam, razdelite natanko to datoteko in potrdite, da jo lahko servisni račun prebere. Vsak člen je kratek in vsak manjkajoči pusti preklicanega odjemalca veselo povezanega. Kontrolni seznam s štirimi vrsticami premaga domnevo brez nobene.