Паузирајте једног OpenVPN клијента без опозива његовог сертификата

Када преносни рачунар на недељу дана оде на сто за поправке, уобичајени нагон је да се уклони његов сертификат из CA. Тај запис је књига издаваоца, а не привремени прекидач приступа. OpenVPN већ има механизам по клијенту за одбијање везе, а његово коришћење чува историју CA нетакнутом. Две контроле одговарају на различита питања, а њихово мешање ствара посао када се уређај врати.

Два записа, два различита посла

База података CA бележи шта је издавалац потписао и шта је касније опозвао. Њој се обраћају поступци опозива и све што чита CRL или сопствену копију књиге. Правило приступа живи на серверу и примењује се на везе које тај сервер прихвата.

Брисање записа о издавању не опозива сертификат поуздано и оштећује историју од које зависе каснији опозив или ревизија. Контрола на страни сервера је ужа и повратна. Запишите разлику у белешку о промени, да следећа особа не тражи опозив који се никада није догодио.

Ставите директиву за онемогућавање у праву датотеку

За сервер заједнице који користи конфигурацију специфичну за клијента, документована директива disable одбија једног изабраног клијента. Она припада датотеци тог клијента под активним client-config-dir, а не главној конфигурацији сервера. Проверите директоријум који покренути демон заиста користи, затим потврдите идентитет који бира датотеку. Датотека названа по погрешном заједничком имену изгледа исправно и никада се не чита.

disable

Избори пресликавања су овде важни. Опције попут username-as-common-name мењају који идентитет користи претрага, па датотека названа по субјекту сертификата можда није она која се примењује. Прочитајте референцу за OpenVPN за инсталирану верзију, уместо да претпоставите да је директива важећа у сваком контексту.

Одвојите нови приступ од активних сесија

Одбијање следећег руковања не завршава тунел који је већ подигнут. Ако уређај мора одмах да се искључи, користите и овлашћени пут за управљање сесијама на серверу за ту конкретну сесију. Иначе клијент може наставити да ради док се сам поново не повеже, а затварање поклопца преносног рачунара или излазак из клијента је радња на страни клијента која вам не говори ништа о серверу.

Проверите оба исхода: активна сесија престаје када то желите, и ново руковање се одбија. Затворен прозор клијента не доказује ништа о политици сервера.

Ако распоређивање нема подржани начин да заврши активну сесију, забележите тај недостатак уместо да измишљате један. Блокиран порт на клијенту није исто што и политика на страни сервера.

Пауза и компромитација су различити догађаји

Изгубљен или украден кључ је догађај опозива, а локална пауза приступа га не замењује. Други сервери који верују истом CA неће делити ово правило специфично за клијента. Пратите поступак опозива и замене издаваоца и држите базу података CA као меродаван запис. Привремена пауза, насупрот томе, захтева документован разлог и корак обнове.

Када се приступ врати, уклоните ограничење преко компоненте која га поседује и потврдите да нова веза успева. Забележите и путању до линије disable, јер каснија синхронизација конфигурације може је тихо вратити. Чувајте паузу, њеног власника и датум у белешкама о распоређивању, да следећи администратор не нађе после месеци необјашњену линију disable.