Začasno ustavite enega odjemalca OpenVPN brez preklica njegovega potrdila

Ko prenosnik za teden dni pride na servisno mizo, je običajen impulz odstraniti njegovo potrdilo iz CA. Ta zapis je register izdajatelja, ne začasno stikalo za dostop. OpenVPN že ima mehanizem za vsakega odjemalca za zavrnitev povezave, in njegova uporaba ohranja zgodovino CA nedotaknjeno. Nadzora odgovarjata na različni vprašanji, njuno mešanje pa ustvarja delo, ko se naprava vrne.

Dva zapisa, dve različni nalogi

Zbirka podatkov CA beleži, kaj je izdajatelj podpisal in kaj je pozneje preklical. Nanjo se obračajo postopki preklica in vse, kar bere CRL ali lastno kopijo registra. Pravilo dostopa živi na strežniku in velja za povezave, ki jih ta strežnik sprejme.

Brisanje zapisa o izdaji ne prekliče potrdila zanesljivo in poškoduje zgodovino, od katere sta odvisna poznejši preklic ali revizija. Nadzor na strani strežnika je ožji in povraten. Razliko zapišite v opombo o spremembi, da naslednja oseba ne bo iskala preklica, ki se ni nikoli zgodil.

Direktivo za onemogočanje vstavite v pravo datoteko

Za skupnostni strežnik, ki uporablja konfiguracijo, specifično za odjemalca, dokumentirana direktiva disable zavrne enega izbranega odjemalca. Spada v datoteko tega odjemalca pod aktivnim client-config-dir, ne v glavno konfiguracijo strežnika. Preverite imenik, ki ga tekoči demon dejansko uporablja, nato potrdite identiteto, ki izbere datoteko. Datoteka, poimenovana po napačnem skupnem imenu, je videti pravilna in se nikoli ne prebere.

disable

Izbire preslikave so tu pomembne. Možnosti, kot je username-as-common-name, spremenijo, katero identiteto uporablja iskanje, zato datoteka, poimenovana po subjektu potrdila, morda ni tista, ki se uporabi. Preberite referenco OpenVPN za nameščeno različico, namesto da bi domnevali, da je direktiva veljavna v vsakem kontekstu.

Ločite nov dostop od aktivnih sej

Zavrnitev naslednjega rokovanja ne konča tunela, ki že stoji. Če je treba napravo odklopiti zdaj, uporabite tudi pooblaščeno pot upravljanja sej na strežniku za to konkretno sejo. Sicer lahko odjemalec nadaljuje z delom, dokler se sam ne poveže znova, zapiranje pokrova prenosnika ali izhod iz odjemalca pa je dejanje na strani odjemalca, ki o strežniku ne pove nič.

Preverite oba izida: aktivna seja se ustavi, ko to želite, in novo rokovanje je zavrnjeno. Zaprto okno odjemalca ne dokazuje ničesar o politiki strežnika.

Če namestitev nima podprtega načina za dokončanje aktivne seje, zabeležite to vrzel, namesto da bi si izmišljali. Blokirana vrata na odjemalcu niso isto kot politika na strani strežnika.

Premor in kompromitacija sta različna dogodka

Izgubljen ali ukraden ključ je dogodek preklica in lokalni premor dostopa ga ne nadomesti. Drugi strežniki, ki zaupajo isti CA, ne bodo delili tega pravila, specifičnega za odjemalca. Sledite postopku preklica in zamenjave izdajatelja ter ohranite zbirko podatkov CA kot verodostojni zapis. Začasni premor pa zahteva dokumentiran razlog in korak obnovitve.

Ko je dostop obnovljen, odstranite omejitev prek komponente, ki jo ima v lasti, in potrdite, da nova povezava uspe. Zabeležite tudi pot do vrstice disable, ker jo lahko poznejša sinhronizacija konfiguracije tiho vrne. Premor, njegovega lastnika in datum hranite v opombah o namestitvi, da naslednji skrbnik mesece pozneje ne bo našel nerazložene vrstice disable.