Mteja aliyeghairiwa bado anajiunga: orodha haikufika kamwe

Kughairi hakiingii kamwe ndani ya handaki inayoendesha kufuta kipindi. Orodha ni ingizo la uthibitishaji wa cheti na husomwa wakati wa kubadilishana kwa kituo cha udhibiti kinachoanzisha kipindi cha TLS. Ukweli huo mmoja unaeleza maajabu yote mawili: mteja aliyeghairiwa anajiunga tena kwa sababu orodha haikufika kamwe kwa mthibitishaji, na kipindi kilichopo kinaendelea kuishi kwa sababu hakuna aliyethibitisha chochote tena.

Orodha ni ingizo, si tendo

Wakati kipindi kinaundwa seva huthibitisha cheti cha mteja dhidi ya nanga zake za uaminifu, na agizo la kughairi linaongeza utafutaji wa orodha kwenye uamuzi huo. Ukaguzi hufanyika kwenye seva, kwa hivyo mteja hawezi kuona kwamba cheti chake kimeghairiwa na anaendelea kutoa kile kile. Kwa hivyo wasifu unaojiunga bado unathibitisha tu kwamba mthibitishaji fulani alikubali mnyororo, si kwamba kughairi kumeshindwa.

Orodha yenyewe ni kitu kilichotiwa saini chenye tarehe ya kutolewa na tarehe ya uboreshaji ijayo. Orodha isiyohusiana, iliyotiwa saini na mamlaka nyingine au ambayo tarehe yake ya uboreshaji ijayo imepita si mbadala wa ile ya sasa, na ikiwa orodha ya zamani inakataliwa au inakubaliwa kimya inategemea usambazaji.

Muunganisho mpya dhidi ya kipindi kinachoendesha

Kughairi hupimwa wakati kipindi kinaundwa au kikijadiliwa upya, si dhidi ya kituo cha data kwa kila pakiti. Mteja aliye tayari ameunganishwa anashikilia funguo za trafiki, kwa hivyo anaendelea kupitisha pakiti baada ya cheti chake kuonekana kwenye orodha. Muda wa kawaida wa kujadili upya hupimwa kwa saa, kwa hivyo orodha iliyoboreshwa inaweza kuanza kutumika kwa wapya wakati handaki inayoendesha inabaki.

Utekelezaji wa haraka unahitaji hatua ya kukusudia na si orodha pekee. Kuanzisha upya huduma kunalazimisha kila mteja kujiunga tena, wakati kumaliza kipindi kimoja kupitia kiolesura cha usimamizi kunaacha vingine bila kuguswa. Chagua kimoja kwa kila tukio na andika ulichotumia. Chaguo mbili zina athari tofauti, na huo ndio uamuzi halisi.

Wasilisha faili ambalo mthibitishaji husoma kweli

Orodha inapaswa kuzalishwa kutoka rekodi ya mamlaka kisha kunakiliwa kwenye kila mashine inayothibitisha vyeti. Kuizalisha kwenye mwenyeji wa CA na kutoiweka kamwe kwenye seva ndilo kosa la kawaida zaidi, na linaonekana kama kipengele cha kughairi kilichovunjika.

ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pem

Maelezo mawili huamua ikiwa faili linasomwa kweli. Njia jamaa hutatuliwa dhidi ya saraka ya usanidi, kwa hivyo nakala iliyoachwa nyumbani kwa mwendeshaji inaweza kutosepatikana kamwe. Na daemon kawaida huachia ruhusa baada ya kuanza, kwa hivyo akaunti ya utekelezaji inahitaji ruhusa ya utafutaji kwenye kila saraka mzazi na ruhusa ya kusoma kwenye faili. Angalia zote mbili kwa akaunti ya utekelezaji na si kwa root, vinginevyo jaribio linathibitisha jambo lisilo sahihi.

Kwenye wenyeji wa systemd kitengo kilichoimarishwa kinaweza pia kuficha njia, kwa mwonekano wa kusoma tu au saraka ya mfumo iliyolindwa. Kutoka ndani ya huduma hilo haliwezi kutofautishwa na faili iliyokosekana, kwa hivyo angalia vikwazo vya kitengo kabla ya kwenda kutafuta hitilafu ya ruhusa. Soma faili ya kitengo kabla ya kulaumu hali ya faili.

Thibitisha kwenye seva, si kwa mteja

Kumbukumbu ya seva inataja kilichotokea: kufungua orodha, kuipakia au uthibitishaji kushindwa na nambari ya mfululizo iliyoghairiwa. Mteja huripoti tu kushindwa kwa makubaliano ya jumla, kwa hivyo kumbukumbu za mteja ni mahali pabaya pa kutafuta uamuzi wa kughairi.

Thibitisha kwa jaribio jipya kutoka wasifu ulioghairiwa kisha simama. Muunganisho uliofanikiwa kutoka wasifu huo ni ishara ya kuchunguza njia ya faili na akaunti ya utekelezaji, si kudhani orodha ilikuwa mbaya. Weka jaribio hilo lililofanikiwa kama jaribio la kukubalika, na usihesabu muunganisho wa tena ambao hukuuona.

Kile kisichoghairi chochote

Kufuta wasifu kutoka kwa kompyuta mpakato, kuondoa faili ya cheti kutoka kwa mteja au kumwambia mtumiaji aache kujiunga hakubadilishi chochote kwenye seva. Cheti kinabaki halali hadi mamlaka itakaporekodi kughairi na mthibitishaji atasoma orodha inayotokana.

Ndiyo sababu mnyororo unafaa kuandikwa: rekodi kughairi, zalisha na utie saini orodha, sambaza faili hilo hasa, na thibitisha kwamba akaunti ya huduma inaweza kulisoma. Kila kiungo ni kifupi, na kiungo chochote kinachokosekana kinamwacha mteja aliyeghairiwa akijiunga kwa furaha. Orodha ya ukaguzi ya mistari minne inashinda dhana isiyo na mstari wowote.