Kumtoa mteja mmoja wa OpenVPN: kill, deny au kubatilisha cheti?

Una common name na anwani katika madokezo yako, na amri tatu ambazo zote zinaonekana kuondoa mteja. Ni moja tu inayofanya unachotaka, na chaguo linategemea ikiwa unahitaji kumaliza kikao kinachoendesha sasa, kukataa kuingia kunakofuata, au kuondoa haki ya kuunganisha kabisa. Soma utambulisho unao holda kwa kweli kabla ya kugusa kitu chochote, kwa sababu bwawa la OpenVPN hutoa anwani hiyo hiyo ya handaki kwa kikao kingine baadaye.

Utambulisho gani unao kweli

Faili ya hali ya toleo la 3 ndio mahali pa kawaida pa kuanzia. Sehemu ya CLIENT_LIST hubeba common name, anwani halisi, vihesabu vya baiti na muda wa muunganisho; sehemu ya ROUTING TABLE huunganisha anwani pepe na common name pamoja na muhuri wa muda wa rejeleo la mwisho. Common name ndio utambulisho thabiti. Anwani pepe ni ugawaji, na anwani halisi nyuma ya NAT inaweza kubadilika kati ya vikao bila kitu chochote kubadilika kwenye seva.

Kiolesura cha usimamizi kinaonyesha mwonekano kama huo kupitia amri yake status na kinaongeza ID ya mteja kwa kila kikao. ID hiyo ndiyo client-kill inatarajia, na si anwani ya handaki. Ikiwa unahitaji kujua ni common name gani ilipokea anwani gani wakati wa muunganisho, mazingira ya skripti ya client-connect yana zote mbili, pamoja na anwani ya nje inayoaminika, lakini skripti hiyo huendeshwa kama mtumiaji wa OpenVPN na inahitaji njia ya kumbukumbu inayoweza kuandikwa.

Ua sasa, kataa wakati wa kuingia, batilisha milele

Amri zote mbili za kuondoa katika kiolesura cha usimamizi ni vitendo vya kikao. kill huchukua common name au anwani halisi na bandari; client-kill huchukua ID ya mteja na kumaliza papo hapo nakala hiyo. Hakuna iliyo kizuizi: mteja aliyetolewa mwenye cheti na nenosiri halali huunganisha tena kwa sekunde, jambo ambalo ni zuri unapotumia tena peer ya majaribio na halina maana kompyuta mpakato inapoibwa.

client-deny ni aina nyingine ya uamuzi. Kwa kawaida hutolewa kutoka ndoano ya uthibitishaji au client-connect na hukataa kikao kwa sababu, kwa hiyo inafaa sera inayokataa kuingia badala ya ile inayokatiza muunganisho. Nyaraka pia zinaonya kwamba kukataa kunakotolewa wakati wa majadiliano upya ya TLS hufanya ufunguo uliojadiliwa upya kuwa batili wakati kikao kilichopo kinaweza kuendelea hadi dirisha la mpito lifungwe. Ikiwa hitaji ni kwamba mteja hayupo sasa, jibu lililoandikwa ni client-kill.

Uondoaji wa kudumu uko chini ya haya yote. Batilisha cheti na uhakikishe crl-verify inaelekeza kwenye orodha ambayo seva hupakia upya kweli, zima faili ya usanidi maalum ya mteja katika saraka ya ccd, au zima akaunti katika backend yoyote ambayo ndoano ya uthibitishaji huuliza. Kubatilisha pia si papo hapo: kwa mipangilio ya kawaida ya reneg-sec kikao kilichoanzishwa kinaweza kuendelea hadi kijadili upya, kwa hiyo kitendo cha kikao na kitendo cha stakabadhi hukamilishana, si mbadala.

Je, soketi ya usimamizi iko huru?

Kiolesura cha usimamizi huhudumia mteja mmoja kwa wakati mmoja. Ikiwa GUI au daemon ya ufuatiliaji tayari inashikilia muunganisho, skripti yako haiwezi kujiunga kando yake, na kulingana na mteja unaweza kumfukuza aliyeopo badala ya kushindwa kwa usafi. Nenosiri lake husafiri kwa maandishi wazi kwenye soketi hiyo, kwa hiyo ni la anwani ya ndani au soketi ya unix, kamwe si la kiolesura cha umma.

Wakati huwezi kuchukua soketi, bado una chaguo, na zote ni za polepole zaidi. Achilia kikao cha GUI kwanza ikiwa unakidhibiti, au kubali njia ya tabaka la stakabadhi na subiri majadiliano upya yajayo. Usichotakiwi kufanya ni kuwasha tena huduma ili kuondoa mteja mmoja, kwa sababu hiyo humaliza pia vikao vingine vyote na huharibu ushahidi wa faili ya hali kwa hiki.

Mfululizo ninaouendesha kwenye seva hai

Ungana, soma hali ya sasa, tendea ID uliyoisoma sasa hivi, kisha isome tena. Thamani zilizonakiliwa kutoka hati ndiyo njia ya kawaida zaidi ya kumuua mtu asiyefaa.

status                     # note the client ID and common name
client-kill 3              # end that session now
kill Test-Client           # alternative: by common name
status                     # confirm the session is gone

Jina na namba hapo juu ni viwakilishi, na ID hutumika tena baada ya wateja wengine kukatisha. Thibitisha kwamba mstari haupo kabla ya kuandika kitu chochote kama kimekamilika, na angalia kwamba idadi ya wateja walioounganishwa ilihamia kwa mmoja badala ya kadhaa.

Thibitisha kwamba alibaki mbali

Rekodi common name, anwani ya handaki, anwani ya nje na dakika ya uondoaji. Ikiwa common name hiyo hiyo inaonekana tena dakika moja baadaye, kitendo cha kikao kilifanya kazi na tabaka la stakabadhi hakikufanya, jambo ambalo ni urekebishaji tofauti kabisa na ule wa amri ambayo haikuanza kutumika.

Kisha jaribu kutoka upande wa mteja. Cheti kilichobatilishwa kinapaswa kushindwa kwenye handshake inayofuata; ikiwa bado kinaunganisha, CRL haisomwi kabisa, na hiyo ndiyo ugunduzi unaostahili kuripotiwa. Chagua kitendo kulingana na unachohitaji kumaliza, thibitisha kwa status ya pili, na rekebisha tabaka la stakabadhi wakati jibu linapaswa kudumu zaidi ya kikao.