ఒక OpenVPN క్లయింట్ను నిలిపివేయడం: రద్దు ఎందుకు తప్పు లివర్

ఒక క్లయింట్ యాక్సెస్ను నిలిపివేయడం మరియు అతన్ని శాశ్వతంగా తొలగించడం ఒకే పనిగా కనిపిస్తాయి, వాటిలో ఒకదాన్ని వెనక్కి తీసుకోవడానికి ప్రయత్నించే వరకు. సర్టిఫికెట్ రద్దు చేయడం సర్వర్ తుదిదిగా భావించే రికార్డును రాస్తుంది, దాన్ని తిరిగి మార్చడం అంటే జారీచేసేవారి డేటాబేస్ను చేతితో సవరించడం. నడుస్తున్న టన్నెల్ను వదలడం విశ్వాసంలో ఏమీ మార్చని నిర్వహణ ఆదేశం. కీ ఇంకా నమ్మదగినదా అని అడిగి లివర్ను ఎంచుకోండి, అభ్యర్థన ఎంత అత్యవసరంగా కనిపిస్తుందో అడిగి కాదు.

నమ్మకం: రద్దు చేసినది మరియు నిలిపివేసినది ఒకటే

ఒక కాంట్రాక్టర్ను ఒక వారం నిలిపివేస్తారు మరియు మొదటి స్పందన రద్దు చేయడం, ఎందుకంటే రద్దు అనేది ఏదో ఆఫ్ చేయడంలా వినిపిస్తుంది. అది చక్కగా కనిపిస్తుంది, పది సెకన్లు పడుతుంది, తిరిగి వెళ్లే ఏకైక మార్గంగా డేటాబేస్ సవరణను మిగులుస్తుంది. ఈ స్పందన అర్థమయ్యేది మరియు అది తలుపు మూయడం కంటే పాస్పోర్ట్ కాల్చడానికి దగ్గరగా ఉంది. నిలిపివేసిన పరికరం మరియు బయటపడిన కీ వేర్వేరు చికిత్స కావాలి, వాటిలో ఒకటి మాత్రమే చవకగా తిరిగి మార్చగలం.

భేదం వ్యక్తి గురించి కాదు, ఆధారాల గురించి. సరైన చేతుల్లో ఉన్న కీని విశ్వాసం కోల్పోకుండా నిలిపివేసి తిరిగి ప్రారంభించవచ్చు. కాపీ అయి ఉండవచ్చిన కీని ఎప్పటికీ పునరుద్ధరించకూడదు, ఎందుకంటే పునరుద్ధరణ కాపీ లేదని చెబుతుంది.

రెండు సిస్టమ్లలో దేన్నీ తాకే ముందు సమాధానం రాయండి. కీ బయటపడిందా లేదా అని చెప్పలేకపోతే, సంప్రదాయవాద సమాధానం భర్తీ.

నిర్వహణ ఇంటర్ఫేస్తో నడుస్తున్న సెషన్ను వదలండి

OpenVPN సెషన్లను జాబితా చేయగల మరియు వాటిలో ఒకదాన్ని సాధారణ పేరుతో చంపగల నిర్వహణ ఇంటర్ఫేస్ను అందిస్తుంది. దాన్ని localhostపై ప్రారంభించి, పబ్లిక్ ఇంటర్ఫేస్ నుండి దూరంగా ఉంచి, సెషన్ ఇప్పుడే మాయమవ్వాల్సి వచ్చినప్పుడు చంపే ఆదేశాన్ని పంపండి. ఆదేశం ఆ టన్నెల్ను మాత్రమే మూస్తుంది, మిగిలిన ప్రతి క్లయింట్ పని కొనసాగిస్తాడు.

ఇది చురుకైన సమస్యకు స్పందన, నిలిపివేత విధానం కాదు. అదే ప్రొఫైల్ ఒక నిమిషంలో తిరిగి కనెక్ట్ కాగలదు, ఎందుకంటే దాని ఆధారాలలో ఏమీ మారలేదు. సెషన్ వెళ్లాల్సి ఉండి, శాశ్వత నిర్ణయం ఇంకా తీసుకుంటున్నప్పుడు దీన్ని ఉపయోగించండి.

చంపే ముందు సెషన్ కనెక్ట్ అయిందని నిర్ధారించుకోండి, ఎప్పుడూ కనెక్ట్ కాని క్లయింట్ వెంట పడకుండా. క్రింది స్థితి ఆదేశం ఇప్పుడు ఏది కనెక్ట్ అయిందో ముద్రిస్తుంది.

printf 'status 2\nquit\n' | nc 127.0.0.1 7506
printf 'kill kiosk-14\nquit\n' | nc 127.0.0.1 7506

చంపే ఆదేశం అలాంటి క్లయింట్ లేదని తెలిపితే, సర్టిఫికెట్లోని సాధారణ పేరు మీరు టైప్ చేసిన స్ట్రింగ్ కాదు. ప్రొఫైల్ ఫైల్ పేరుకు బదులు స్థితి అవుట్పుట్ చదవండి.

CRL వాస్తవంగా ఏమి నియంత్రిస్తుంది

సర్వర్ సర్టిఫికెట్పై నిల్వ చేసిన రద్దు జెండాను చూడదు. అది crl-verifyలో పేర్కొన్న సర్టిఫికెట్ రద్దు జాబితాను ప్రతి కొత్త కనెక్షన్లో చదివి, ఆ జాబితాలో క్రమ సంఖ్య ఉన్న సర్టిఫికెట్ను తిరస్కరిస్తుంది. దాని నుండి రెండు పరిణామాలు వస్తాయి, రెండూ కార్యాచరణపరంగా ముఖ్యమే. ఫైల్ సర్వర్ తన హక్కులను అప్పగించే ఖాతాకు చదవగలిగేదిగా ఉండాలి, ఇప్పటికే కనెక్ట్ అయిన క్లయింట్ తిరిగి కనెక్ట్ అయ్యే వరకు నడుస్తూనే ఉంటుంది.

రెండవ పరిణామం సంఘటనల సమయంలో ప్రజలను ఆశ్చర్యపరుస్తుంది. సర్టిఫికెట్ రద్దు చేయడం దాన్ని ఇప్పుడు ఉపయోగిస్తున్న టన్నెల్ను మూయదు. సెషన్ వెంటనే ముగియాల్సి ఉంటే రద్దును నిర్వహణ చంపుడుతో జత చేయండి, రెండు చర్యలను చేతిపుస్తకంలో వేర్వేరు దశలుగా పరిగణించండి.

సర్వర్ వాస్తవంగా ఏమి అమలు చేస్తుందో చూడటానికి జాబితాను పరిశీలించండి, మీరు కాపీ చేసిన చివరి ఫైల్ సమయ ముద్రను నమ్మడం బదులు. ముఖ్యమైన భాగం క్రమ సంఖ్యల సంఖ్య.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | sed -n '1,14p'
ls -l /etc/openvpn/server/crl.pem

నమోదులు లేని జాబితా మరియు సరైన నమోదులు ఉన్న జాబితా డైరెక్టరీ జాబితాలో ఒకేలా కనిపిస్తాయి, అందుకే క్రమ సంఖ్యల సంఖ్యను ముద్రించడం విలువైనది. అనుమతి పంక్తి కూడా అంతే ముఖ్యం, ఎందుకంటే డీమన్ చదవలేని ఫైల్ తిరస్కరించిన క్లయింట్లా కనిపించే వైఫల్యాన్ని కలిగిస్తుంది.

రికార్డును పునరుద్ధరించడం, జాగ్రత్తగా

సర్టిఫికెట్ పునరుద్ధరణ అంటే జారీ డేటాబేస్లో రికార్డును తలకిందులుగా మార్చి కొత్త జాబితాను ప్రచురించడం. easy-rsa 3 ఆ డేటాబేస్ను PKI డైరెక్టరీ కింద index.txtగా ఉంచుతుంది, పాత ఏర్పాట్లు వేరే క్రమాన్ని ఉపయోగించాయి. పంక్తి స్థితి అక్షరం మరియు గడువు తేదీతో మొదలవుతుంది. రద్దు చేసిన పంక్తి క్రమ సంఖ్య, సర్టిఫికెట్ ఫైల్ పేరు మరియు విశిష్ట నామంతో కొనసాగే ముందు రద్దు కోసం సమయ ముద్రను చేరుస్తుంది. పంక్తిని తిరిగి పెట్టడం అంటే ఆ సమయ ముద్రను తొలగించి అక్షరాన్ని తలకిందులుగా మార్చడం, మిగతావన్నీ అలాగే వదిలేయడం.

మొదట ఫైల్ బ్యాకప్ తీసుకోండి, మరియు సవరణను టెక్స్ట్ ఎడిటర్లో టైప్ చేయడం బదులు స్క్రిప్ట్గా చేయండి. పంక్తిలో ఎన్ని ఫీల్డ్లు ఉన్నాయో మార్చే టైపో తర్వాత జోడించే ప్రతి సర్టిఫికెట్ జారీని పాడు చేస్తుంది. అందుకే మార్పును ఆటోమేట్ చేసి తాకే ముందు ఫైల్ను కాపీ చేయాలి.

అదే పేరు రెండవ రద్దు కూడా తరచుగా విఫలమవుతుంది, ఎందుకంటే మొదటి పరుగు ఆ సర్టిఫికెట్ మరియు దాని కీని సాధనం ఆశించే డైరెక్టరీల నుండి బయటకు తరలించింది. అప్పుడు సాధనం రద్దు చేయమని అడిగినదాన్ని కనుగొనలేదు, లోప సందేశం ఎందుకో ఎప్పుడూ స్పష్టంగా చెప్పదు.

cp /etc/easy-rsa/pki/index.txt /root/index.txt.$(date +%F-%H%M)
grep -c '^R' /etc/easy-rsa/pki/index.txt
easyrsa gen-crl

కొత్త జాబితాను ప్రచురించండి, దాని యాజమాన్యాన్ని సరిచేయండి, సర్వర్ను దాన్ని చదివించండి. చాలా ఇన్స్టాలేషన్లలో రీలోడ్ సరిపోతుంది, కానీ నిర్ధారణ కొత్త కనెక్షన్ నుండి రావాలి, ఎందుకంటే ఉన్న సెషన్ ఏదీ తిరిగి తనిఖీ చేయలేదు.

కేసు ఏ లివర్కు అర్హమో తనిఖీ చేయండి

మొత్తం చేతిపుస్తకాన్ని నిర్ణయించే ఒకే ప్రశ్న అడగండి: ప్రైవేట్ కీ ఇంకా ఉండవలసిన చోటే ఉందా. అవును అయితే, సెషన్ను చంపడం మరియు నమోదిత విరామం కేసును కవర్ చేస్తాయి, శాశ్వత రికార్డు మిగలదు. కాదు అయితే, ఏకైక సురక్షిత సమాధానం కొత్త కీ, పాత సర్టిఫికెట్ రద్దు చేయబడిన స్థితిలో ఉంటుంది.

తర్వాత ఫలితాన్ని కాన్ఫిగరేషన్ భేదంతో కాదు, కనెక్షన్ ప్రయత్నంతో ధృవీకరించండి. భేదం మీరు ఉద్దేశించినది చెబుతుంది, కనెక్షన్ సర్వర్ ఏమి అమలు చేస్తుందో చెబుతుంది.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | grep -c 'Serial Number'
printf 'status 2\nquit\n' | nc 127.0.0.1 7506

పునరుద్ధరించిన క్లయింట్ కనెక్ట్ అయి స్థితి అవుట్పుట్లో కనిపిస్తే, రికార్డు సవరణ పని చేసింది. రద్దు చేసిన క్లయింట్ తిరస్కరించబడి లాగ్ CRLను పేర్కొంటే, రద్దు పని చేసింది. వాటి మధ్య ఏదైనా అనుమతి లేదా రీలోడ్ సమస్య, తదుపరి అభ్యర్థన రాకముందే దాన్ని సరిచేయడం విలువైనది.