ரத்து செய்யப்பட்ட வாடிக்கையாளர் இன்னும் இணைக்கிறார்: பட்டியல் ஒருபோதும் வரவில்லை
ரத்து செய்தல் சான்றிதழ் சரிபார்ப்பின் உள்ளீடு, அமர்வை முடிக்கும் கட்டளை அல்ல. புதிய இணைப்பும் இயங்கும் சுரங்கப்பாதையும் பட்டியலை எவ்வாறு பார்க்கின்றன என்பதை ஒப்பிடுங்கள்.
ரத்து செய்தல் ஒருபோதும் இயங்கும் சுரங்கப்பாதைக்குள் சென்று அமர்வை அழிக்காது. பட்டியல் சான்றிதழ் சரிபார்ப்பின் உள்ளீடு ஆகும், TLS அமர்வைத் தொடங்கும் கட்டுப்பாட்டு சேனல் பரிமாற்றத்தின் போது இது பார்க்கப்படுகிறது. இந்த ஒரு உண்மை இரு ஆச்சரியங்களையும் விளக்குகிறது: ரத்து செய்யப்பட்ட வாடிக்கையாளர் மீண்டும் இணைக்கிறார், ஏனெனில் பட்டியல் ஒருபோதும் சரிபார்ப்பாளரை அடையவில்லை, மேலும் தற்போதுள்ள அமர்வு உயிருடன் இருக்கிறது, ஏனெனில் யாரும் எதையும் மீண்டும் சரிபார்க்கவில்லை.
பட்டியல் ஒரு உள்ளீடு, செயலல்ல
அமர்வு நிறுவப்படும்போது சேவையகம் வாடிக்கையாளர் சான்றிதழைத் தன் நம்பிக்கை நங்கூரங்களுக்கு எதிராகச் சரிபார்க்கிறது, ரத்து உத்தரவு அந்த முடிவுக்கு பட்டியல் தேடலைச் சேர்க்கிறது. சரிபார்ப்பு சேவையகத்தில் நடக்கிறது, எனவே தன் சான்றிதழ் ரத்து செய்யப்பட்டதை வாடிக்கையாளர் பார்க்க முடியாது, அதே சான்றிதழையே தொடர்ந்து வழங்குகிறார். எனவே இன்னும் இணைக்கும் சுயவிவரம் ஏதோ ஒரு சரிபார்ப்பாளர் சங்கிலியை ஏற்றுக்கொண்டார் என்பதை மட்டுமே நிரூபிக்கிறது, ரத்து தோல்வியடைந்தது என்பதை அல்ல.
பட்டியல் தானே வெளியீட்டுத் தேதியும் அடுத்த புதுப்பிப்புத் தேதியும் கொண்ட கையொப்பமிடப்பட்ட பொருள். தொடர்பில்லாத பட்டியல், வேறு அதிகாரி கையொப்பமிட்ட பட்டியல் அல்லது அடுத்த புதுப்பிப்புத் தேதி கடந்துவிட்ட பட்டியல் தற்போதைய பட்டியலுக்கு மாற்றல்ல, மேலும் பழைய பட்டியல் நிராகரிக்கப்படுகிறதா அல்லது அமைதியாக ஏற்கப்படுகிறதா என்பது வரிசைப்படுத்தலைப் பொறுத்தது.
புதிய இணைப்பு மற்றும் இயங்கும் அமர்வு
அமர்வு நிறுவப்படும்போது அல்லது மீண்டும் பேச்சுவார்த்தை நடத்தப்படும்போது ரத்து மதிப்பிடப்படுகிறது, ஒவ்வொரு பொதியிலும் தரவுச் சேனலுக்கு எதிராக அல்ல. ஏற்கனவே இணைந்த வாடிக்கையாளர் போக்குவரத்து சாவிகளை வைத்திருப்பதால், அவரது சான்றிதழ் பட்டியலில் தோன்றிய பிறகும் பொதிகளைக் கடக்க அனுமதிக்கிறார். இயல்புநிலை மீண்டும் பேச்சுவார்த்தை இடைவெளி மணிநேரங்களில் அளவிடப்படுகிறது, எனவே புதுப்பிக்கப்பட்ட பட்டியல் புதியவர்களுக்கு அமலாகலாம், இயங்கும் சுரங்கப்பாதை நீடிக்கும்போது.
| Situation | What the list does | When it applies |
|---|---|---|
| Fresh connection | Blocks the handshake | At verification, immediately |
| Renegotiation | Blocks the new exchange | At the next renegotiation interval |
| Established data channel | Nothing | Until the session ends |
உடனடி அமலாக்கத்திற்கு பட்டியல் மட்டுமல்ல, வேண்டுமென்றே எடுக்கப்பட்ட நடவடிக்கை தேவை. சேவையை மீண்டும் தொடங்கினால் ஒவ்வொரு வாடிக்கையாளரும் மீண்டும் இணைய வேண்டும், ஆனால் நிர்வாக இடைமுகம் வழியாக ஒரு அமர்வை முடித்தால் மற்றவை தொடப்படாமல் இருக்கும். ஒவ்வொரு சம்பவத்திற்கும் ஒன்றைத் தேர்ந்தெடுத்து எதைப் பயன்படுத்தினீர்கள் என எழுதுங்கள். இரு விருப்பங்களின் தாக்க வரம்பு வேறுபடுகிறது, அதுவே உண்மையான முடிவு.
சரிபார்ப்பாளர் உண்மையில் படிக்கும் கோப்பை வழங்குங்கள்
பட்டியல் அதிகாரியின் பதிவிலிருந்து உருவாக்கப்பட்டு, பின்னர் சான்றிதழ்களைச் சரிபார்க்கும் ஒவ்வொரு இயந்திரத்திற்கும் நகலெடுக்கப்பட வேண்டும். அதை CA புரவலனில் உருவாக்கி சேவையகத்தில் ஒருபோதும் நிறுவாமல் இருப்பது மிகவும் பொதுவான தோல்வி, அது உடைந்த ரத்து அம்சம் போலவே தெரிகிறது.
ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pemகோப்பு உண்மையில் படிக்கப்படுகிறதா என்பதை இரு விவரங்கள் தீர்மானிக்கின்றன. ஒப்பீட்டு பாதை கட்டமைப்பு அடைவுக்கு எதிராகத் தீர்க்கப்படுகிறது, எனவே இயக்குநரின் வீட்டில் விடப்பட்ட நகல் ஒருபோதும் கிடைக்காமல் போகலாம். மேலும் டீமன் பொதுவாகத் தொடங்கிய பிறகு சிறப்புரிமைகளை விட்டுவிடுகிறது, எனவே இயக்க கணக்கிற்கு ஒவ்வொரு மூல அடைவிலும் தேடல் அனுமதியும் கோப்பில் படிக்கும் அனுமதியும் தேவை. இரண்டையும் இயக்க கணக்குடன் சரிபார்க்கவும், root உடன் அல்ல, இல்லையெனில் சோதனை தவறானதை நிரூபிக்கும்.
systemd புரவலன்களில் கடினப்படுத்தப்பட்ட அலகும் பாதையை மறைக்கலாம், படிக்க-மட்டும் காட்சி அல்லது பாதுகாக்கப்பட்ட கணினி அடைவுடன். சேவையின் உள்ளிருந்து இதைக் காணாமல் போன கோப்பிலிருந்து வேறுபடுத்த முடியாது, எனவே அனுமதி பிழையைத் தேடச் செல்வதற்கு முன் அலகின் கட்டுப்பாடுகளைச் சரிபார்க்கவும். கோப்பின் முறையைக் குறை கூறுவதற்கு முன் அலகு கோப்பைப் படியுங்கள்.
சேவையகத்தில் உறுதிப்படுத்துங்கள், வாடிக்கையாளரில் அல்ல
சேவையகப் பதிவு என்ன நடந்தது எனக் கூறுகிறது: பட்டியலைத் திறத்தல், அதை ஏற்றுதல் அல்லது ரத்து செய்யப்பட்ட வரிசை எண்ணுடன் சரிபார்ப்பு தோல்வியடைதல். வாடிக்கையாளர் பொதுவான கைக்குலுக்கல் தோல்வியை மட்டுமே தெரிவிக்கிறார், எனவே ரத்து முடிவைத் தேட வாடிக்கையாளர் பதிவுகள் மோசமான இடம்.
ரத்து செய்யப்பட்ட சுயவிவரத்திலிருந்து புதிய முயற்சியுடன் சரிபார்த்து பின்னர் நிறுத்துங்கள். அந்தச் சுயவிவரத்திலிருந்து வெற்றிகரமான இணைப்பே கோப்புப் பாதையையும் இயக்க கணக்கையும் ஆய்வு செய்வதற்கான சமிக்ஞை, பட்டியல் தவறாக இருந்தது எனக் கருதுவதற்கல்ல. அந்த வெற்றிகரமான முயற்சியை ஏற்புச் சோதனையாக வைத்திருங்கள், நீங்கள் பார்க்காத மீளிணைப்பை எண்ண வேண்டாம்.
எதையும் ரத்து செய்யாதது
மடிக்கணினியிலிருந்து சுயவிவரத்தை நீக்குவது, வாடிக்கையாளரிடமிருந்து சான்றிதழ் கோப்பை அகற்றுவது அல்லது பயனரை இணைவதை நிறுத்தச் சொல்வது சேவையகத்தில் எதையும் மாற்றாது. அதிகாரி ரத்தைப் பதிவு செய்து சரிபார்ப்பாளர் அதன் விளைவான பட்டியலைப் படிக்கும் வரை சான்றிதழ் செல்லுபடியாகவே இருக்கும்.
அதனால்தான் சங்கிலியை எழுதி வைப்பது மதிப்புள்ளது: ரத்தைப் பதிவு செய்யுங்கள், பட்டியலை உருவாக்கி கையொப்பமிடுங்கள், அதே கோப்பை விநியோகிக்கவும், சேவைக் கணக்கு அதைப் படிக்க முடியும் என உறுதிப்படுத்தவும். ஒவ்வொரு இணைப்பும் சிறியது, ஏதேனும் ஒரு இணைப்பு விடுபட்டால் ரத்து செய்யப்பட்ட வாடிக்கையாளர் மகிழ்ச்சியாக இணைந்துகொண்டே இருப்பார். நான்கு வரி சரிபார்ப்புப் பட்டியல் ஒரு வரியும் இல்லாத அனுமானத்தை வெல்லும்.