Pezulloni një klient OpenVPN pa revokuar certifikatën e tij

Kur një laptop shkon për një javë në tavolinën e riparimit, instinkti i zakonshëm është të hiqet certifikata e tij nga CA. Ai regjistrim është libri i lëshuesit, jo një çelës i përkohshëm aksesi. OpenVPN tashmë ka një mekanizëm për çdo klient për të refuzuar një lidhje, dhe përdorimi i tij e mban historikun e CA-së të paprekur. Dy kontrollet u përgjigjen pyetjeve të ndryshme, dhe përzierja e tyre krijon punë kur pajisja kthehet.

Dy regjistra, dy detyra të ndryshme

Baza e të dhënave e CA-së regjistron çfarë nënshkroi lëshuesi dhe çfarë revokoi më vonë. Ajo konsultohet nga proceset e revokimit dhe nga çdo gjë që lexon CRL-në ose kopjen e vet të regjistrit. Një rregull pranimi jeton në server dhe zbatohet për lidhjet që ai server pranon.

Fshirja e një regjistrimi lëshimi nuk e revokon certifikatën në mënyrë të besueshme dhe dëmton historikun nga i cili varen revokimi ose auditimi i mëvonshëm. Kontrolli në anën e serverit është më i ngushtë dhe i kthyeshëm. Shkruani ndryshimin në shënimin e ndryshimit, që personi tjetër të mos kërkojë një revokim që nuk ndodhi kurrë.

Vendosni direktivën e çaktivizimit në skedarin e duhur

Për një server komuniteti që përdor konfigurim specifik për klientin, direktiva e dokumentuar disable refuzon një klient të zgjedhur. Ajo i takon skedarit të atij klienti nën client-config-dir aktiv, jo konfigurimit kryesor të serverit. Konfirmoni drejtorinë që daemoni në punë përdor në të vërtetë, pastaj konfirmoni identitetin që zgjedh skedarin. Një skedar i emërtuar me emrin e përbashkët të gabuar duket i saktë dhe nuk lexohet kurrë.

disable

Zgjedhjet e hartëzimit kanë rëndësi këtu. Opsione si username-as-common-name ndryshojnë se cilën identitet përdor kërkimi, kështu që një skedar i emërtuar sipas subjektit të certifikatës mund të mos jetë ai që zbatohet. Lexoni referencën e OpenVPN për versionin e instaluar, në vend që të supozoni se direktiva është e vlefshme në çdo kontekst.

Ndani pranimin e ri nga sesionet aktive

Refuzimi i shtrëngimit të dorës së radhës nuk e përfundon një tunel që është tashmë lart. Nëse pajisja duhet të shkëputet tani, përdorni gjithashtu rrugën e autorizuar të menaxhimit të sesioneve të serverit për atë sesion konkret. Përndryshe klienti mund të vazhdojë të punojë derisa të rilidhet vetë, dhe mbyllja e kapakut të laptopit ose dalja nga klienti është veprim në anën e klientit që nuk ju thotë asgjë për serverin.

Verifikoni të dyja rezultatet: sesioni aktiv ndalon kur ju dëshironi, dhe një shtrëngim i ri dore refuzohet. Një dritare klienti e mbyllur nuk provon asgjë për politikën e serverit.

Nëse vendosja nuk ka një mënyrë të mbështetur për të përfunduar një sesion aktiv, regjistroni atë boshllëk në vend që të improvizoni një. Një port i bllokuar në klient nuk është e njëjta gjë me një politikë në anën e serverit.

Pauza dhe kompromisi janë ngjarje të ndryshme

Një çelës i humbur ose i vjedhur është ngjarje revokimi, dhe një pauzë lokale aksesi nuk e zëvendëson atë. Serverët e tjerë që besojnë të njëjtën CA nuk do të ndajnë këtë rregull specifik të klientit të këtij serveri. Ndiqni procesin e revokimit dhe zëvendësimit të lëshuesit dhe mbani bazën e të dhënave të CA-së si regjistrin autoritativ. Një pauzë e përkohshme, nga ana tjetër, kërkon një arsye të dokumentuar dhe një hap restaurimi.

Kur aksesi rikthehet, hiqni kufizimin përmes komponentit që e zotëron dhe konfirmoni që një lidhje e re ka sukses. Regjistroni gjithashtu rrugën e rreshtit disable, sepse një sinkronizim i mëvonshëm i konfigurimit mund ta kthejë atë në heshtje. Mbani pauzën, pronarin e saj dhe datën në shënimet e vendosjes, që administratori tjetër të mos gjejë muaj më vonë një rresht disable pa shpjegim.