Pausa en OpenVPN-klient utan att återkalla dess certifikat

När en bärbar dator hamnar en vecka på reparationsbänken är den vanliga impulsen att ta bort dess certifikat från CA:n. Den posten är utgivarens register, inte en tillfällig åtkomstbrytare. OpenVPN har redan en mekanism per klient för att neka en anslutning, och att använda den håller CA:ns historik intakt. De två kontrollerna svarar på olika frågor, och att blanda dem skapar arbete när enheten kommer tillbaka.

Två register, två olika uppgifter

CA:ns databas registrerar vad utgivaren signerade och vad den senare återkallade. Den tillfrågas av återkallningsflöden och av allt som läser CRL:en eller sin egen kopia av registret. En åtkomstregel lever på servern och gäller för de anslutningar som servern accepterar.

Att radera en utfärdandepost återkallar inte ett certifikat pålitligt och skadar historiken som senare återkallning eller revision är beroende av. Kontrollen på serversidan är smalare och reversibel. Skriv skillnaden i ändringsanteckningen så att nästa person inte letar efter en återkallning som aldrig ägde rum.

Placera avstängningsdirektivet i rätt fil

För en gemenskapsserver som använder klientspecifik konfiguration nekar det dokumenterade disable-direktivet en vald klient. Det hör hemma i den klientens fil under den aktiva client-config-dir, inte i serverns huvudkonfiguration. Bekräfta katalogen som den körande daemonen faktiskt använder, och bekräfta sedan identiteten som väljer filen. En fil som fått fel vanligt namn ser korrekt ut och läses aldrig.

disable

Val av mappning spelar roll här. Alternativ som username-as-common-name ändrar vilken identitet uppslaget använder, så en fil som fått namn efter certifikatets subjekt är kanske inte den som tillämpas. Läs OpenVPN-referensen för den installerade versionen i stället för att anta att ett direktiv är giltigt i varje sammanhang.

Skilj ny åtkomst från aktiva sessioner

Att neka nästa handskakning avslutar inte en tunnel som redan är uppe. Om enheten måste kopplas från nu, använd även serverns auktoriserade sessionshanteringsväg för just den sessionen. Annars kan klienten fortsätta att fungera tills den återansluter själv, och att stänga laptopens lock eller avsluta klienten är en åtgärd på klientsidan som inte säger något om servern.

Bekräfta båda utfallen: den aktiva sessionen stoppas när du vill, och en ny handskakning nekas. Ett stängt klientfönster bevisar ingenting om serverns policy.

Om utrullningen inte har något stödsätt att avsluta en aktiv session, registrera den luckan i stället för att improvisera ett. En blockerad port på klienten är inte samma sak som en policy på serversidan.

Paus och kompromettering är olika händelser

En förlorad eller stulen nyckel är en återkallningshändelse, och en lokal åtkomstpaus ersätter den inte. Andra servrar som litar på samma CA delar inte denna servers klientspecifika regel. Följ utgivarens återkallnings- och ersättningsprocess och håll CA:ns databas som den auktoritativa posten. En tillfällig paus kräver däremot ett dokumenterat skäl och ett återställningssteg.

När åtkomsten är återställd tar du bort begränsningen via komponenten som äger den och bekräftar att en ny anslutning lyckas. Anteckna också sökvägen till disable-raden, eftersom en senare konfigurationssynkronisering tyst kan sätta tillbaka den. Behåll pausen, dess ägare och datumet i utrullningsanteckningarna, så att nästa administratör inte hittar en oförklarad disable-rad månader senare.