ஒரு OpenVPN கிளையண்டை வெளியேற்றுவது: kill, deny அல்லது சான்றிதழை ரத்து செய்வதா?
OpenVPN-இன் மூன்று செயல்கள் கிளையண்டை நீக்குகின்றன, ஆனால் ஒவ்வொன்றும் வேறொன்றை முடிக்கிறது: இயங்கும் அமர்வு, ஒரு உள்நுழைவு முயற்சி, அல்லது மீண்டும் இணைவதற்கான உரிமை. அடையாளத்தின்படி தேர்ந்தெடுக்கவும்.
உங்கள் குறிப்புகளில் ஒரு common name-உம் ஒரு முகவரியும் உள்ளன, மேலும் அனைத்தும் கிளையண்டை நீக்குவதுபோல் தெரியும் மூன்று கட்டளைகள் உள்ளன. நீங்கள் விரும்பியதை ஒன்றே செய்கிறது, தேர்வு இப்போது இயங்கும் அமர்வை முடிக்க வேண்டுமா, அடுத்த உள்நுழைவை மறுக்க வேண்டுமா, அல்லது இணைவதற்கான உரிமையை முழுவதுமாக எடுக்க வேண்டுமா என்பதைப் பொறுத்தது. எதையும் தொடுவதற்கு முன் உண்மையில் உங்களிடம் உள்ள அடையாளத்தைப் படியுங்கள், ஏனெனில் OpenVPN குளம் பின்னர் அதே சுரங்கப்பாதை முகவரியை வேறு அமர்வுக்கு வழங்குகிறது.
உண்மையில் உங்களிடம் எந்த அடையாளம் உள்ளது
பதிப்பு 3-இன் நிலைக் கோப்பு வழக்கமான தொடக்கம். CLIENT_LIST பகுதியில் common name, உண்மையான முகவரி, பைட் கவுண்டர்கள் மற்றும் இணைப்பு நேரம் உள்ளன; ROUTING TABLE பகுதி ஒரு மெய்நிகர் முகவரியை common name-உடன் கடைசி குறிப்பின் நேரமுத்திரையுடன் இணைக்கிறது. common name தான் நிலையான அடையாளம். மெய்நிகர் முகவரி ஒரு ஒதுக்கீடு, NAT-க்குப் பின்னால் உள்ள உண்மையான முகவரி அமர்வுகளுக்கு இடையே மாறலாம், சேவையகத்தில் எதுவும் மாறாமல்.
நிர்வாக இடைமுகம் அதன் status கட்டளையின் மூலம் இதேபோன்ற காட்சியைக் காட்டி ஒவ்வொரு அமர்வுக்கும் கிளையண்ட் ID சேர்க்கிறது. client-kill சரியாக அந்த ID-ஐ எதிர்பார்க்கிறது, அது சுரங்கப்பாதை முகவரி அல்ல. இணைக்கும்போது எந்த common name-க்கு எந்த முகவரி கிடைத்தது என்பதை அறிய வேண்டுமானால், client-connect ஸ்கிரிப்டின் சூழலில் இரண்டும் நம்பகமான வெளிப்புற முகவரியுடன் உள்ளன, ஆனால் அந்த ஸ்கிரிப்ட் OpenVPN பயனராக இயங்குகிறது, எழுதக்கூடிய பதிவு பாதை தேவை.
| What you hold | Where it came from | What it can act on |
|---|---|---|
| Common name | CLIENT_LIST, or the auth hook | kill, and credential revocation |
| Client ID | status on the management socket | client-kill, that one session |
| Tunnel address | ROUTING TABLE, client-connect environment | Nothing durable, the address is recycled |
இப்போதே கொல்லுங்கள், உள்நுழைவில் மறுக்குங்கள், என்றென்றும் ரத்து செய்யுங்கள்
நிர்வாக இடைமுகத்தில் உள்ள இரண்டு நீக்கும் கட்டளைகளும் அமர்வு-செயல்கள். kill ஒரு common name அல்லது உண்மையான முகவரி மற்றும் துறையை எடுக்கிறது; client-kill கிளையண்ட் ID-ஐ எடுத்து அந்த நிகழ்வை உடனே முடிக்கிறது. இரண்டும் தடையல்ல: செல்லுபடியாகும் சான்றிதழும் கடவுச்சொல்லும் உள்ள வெளியேற்றப்பட்ட கிளையண்ட் சில வினாடிகளில் மீண்டும் இணைகிறது, இது சோதனை peer-ஐ மீண்டும் பயன்படுத்தும்போது நல்லது, மடிக்கணினி திருடப்பட்டால் பயனற்றது.
client-deny வேறு வகையான முடிவு. பொதுவாக இது authentication அல்லது client-connect கொக்கியிலிருந்து வழங்கப்பட்டு காரணத்துடன் அமர்வை மறுக்கிறது, எனவே இது உள்நுழைவை மறுக்கும் கொள்கைக்குப் பொருந்தும், இணைப்பைத் துண்டிக்கும் கொள்கைக்கு அல்ல. ஆவணங்கள் எச்சரிப்பதும் என்னவென்றால், TLS மறுபேச்சின் போது வழங்கப்படும் மறுப்பு மறுவரையறை செய்யப்பட்ட விசையை செல்லாததாக்குகிறது, அதே நேரம் தற்போதைய அமர்வு மாற்றக் காலம் மூடும் வரை தொடரலாம். கிளையண்ட் இப்போதே போயிருக்க வேண்டும் என்பது தேவையானால், ஆவணப்படுத்தப்பட்ட பதில் client-kill.
நிரந்தர நீக்கம் இவை அனைத்திற்கும் கீழே உள்ளது. சான்றிதழை ரத்து செய்து, சேவையகம் உண்மையில் மீண்டும் ஏற்றும் பட்டியலை crl-verify சுட்டுவதை உறுதிசெய்யுங்கள், ccd அடைவில் உள்ள கிளையண்ட்-குறிப்பிட்ட உள்ளமைவுக் கோப்பை முடக்குங்கள், அல்லது authentication கொக்கி கேட்கும் backend-இல் கணக்கை முடக்குங்கள். ரத்தும் உடனடியல்ல: இயல்புநிலை reneg-sec அமைப்புகளுடன் நிறுவப்பட்ட அமர்வு மறுபேச்சு வரை தொடரலாம், எனவே அமர்வு-செயலும் சான்றுகள்-செயலும் ஒன்றுக்கொன்று நிரப்பியாகும், மாற்று அல்ல.
நிர்வாக சாக்கெட் காலியாக உள்ளதா?
நிர்வாக இடைமுகம் ஒரு நேரத்தில் ஒரு கிளையண்டுக்கு சேவை செய்கிறது. ஒரு GUI அல்லது கண்காணிப்பு டீமான் ஏற்கனவே இணைப்பைப் பிடித்திருந்தால், உங்கள் ஸ்கிரிப்ட் அதன் பக்கத்தில் இணைய முடியாது, கிளையண்டைப் பொறுத்து நீங்கள் தூய தோல்விக்குப் பதிலாக இருக்கும் ஒன்றை வெளியே தள்ளலாம். அதன் கடவுச்சொல் அந்த சாக்கெட்டில் தெளிவான உரையாகப் பயணிக்கிறது, எனவே அதன் இடம் உள்ளூர் முகவரி அல்லது unix சாக்கெட், ஒருபோதும் பொது இடைமுகம் அல்ல.
சாக்கெட்டை எடுக்க முடியாதபோது, இன்னும் விருப்பங்கள் உள்ளன, எல்லாம் மெதுவானவை. கட்டுப்பாடு இருந்தால் முதலில் GUI அமர்வை விடுங்கள், அல்லது சான்றுகள் அடுக்கு வழியை ஏற்று அடுத்த மறுபேச்சுக்கு காத்திருங்கள். செய்யக்கூடாதது ஒரு கிளையண்டை நீக்க சேவையை மீண்டும் தொடங்குவது, ஏனெனில் அது மற்ற எல்லா அமர்வுகளையும் முடித்து இந்த அமர்வின் நிலைக் கோப்பு ஆதாரங்களை அழிக்கிறது.
நேரடி சேவையகத்தில் நான் இயக்கும் வரிசை
இணையுங்கள், தற்போதைய நிலையைப் படியுங்கள், இப்போது படித்த ID-இல் செயல்படுங்கள், பின்னர் அதை மீண்டும் படியுங்கள். ஆவணத்திலிருந்து நகலெடுக்கப்பட்ட மதிப்புகளே தவறான நபரைக் கொல்லும் மிகவும் பொதுவான வழி.
status # note the client ID and common name
client-kill 3 # end that session now
kill Test-Client # alternative: by common name
status # confirm the session is goneமேலே உள்ள பெயரும் எண்ணும் ஒதுக்கிடங்கள், ID-கள் மற்ற கிளையண்டுகள் துண்டிக்கப்பட்ட பிறகு மீண்டும் பயன்படுத்தப்படுகின்றன. எதையும் முடிந்ததாக எழுதுவதற்கு முன் வரி இல்லை என்பதை உறுதிசெய்யுங்கள், இணைக்கப்பட்ட கிளையண்டுகளின் எண்ணிக்கை பலவற்றால் அல்ல, ஒன்றால் நகர்ந்ததைச் சரிபாருங்கள்.
அது வெளியேயே இருந்ததை உறுதிசெய்யுங்கள்
common name, சுரங்கப்பாதை முகவரி, வெளிப்புற முகவரி மற்றும் நீக்கிய நிமிடத்தைப் பதிவு செய்யுங்கள். அதே common name ஒரு நிமிடம் கழித்து மீண்டும் தோன்றினால், அமர்வு-செயல் வேலை செய்தது, சான்றுகள் அடுக்கு செய்யவில்லை, இது ஒருபோதும் நடைமுறைக்கு வராத கட்டளையின் பழுதுநீக்கத்திலிருந்து முற்றிலும் வேறுபட்டது.
பின்னர் கிளையண்ட் பக்கத்திலிருந்து சோதியுங்கள். ரத்து செய்யப்பட்ட சான்றிதழ் அடுத்த கைக்குலுக்கலில் தோல்வியடைய வேண்டும்; அது இன்னும் இணைந்தால், CRL எதுவுமே படிக்கப்படவில்லை, அதுவே புகாரளிக்கத் தகுந்த கண்டுபிடிப்பு. எதை முடிக்க வேண்டும் என்பதன் அடிப்படையில் செயலைத் தேர்ந்தெடுங்கள், இரண்டாவது status மூலம் உறுதிசெய்யுங்கள், பதில் அமர்வை விட நீடிக்க வேண்டியிருந்தால் சான்றுகள் அடுக்கைச் சரிசெய்யுங்கள்.