రద్దు చేసిన క్లయింట్ ఇప్పటికీ కనెక్ట్ అవుతుంది: జాబితా ఎప్పుడూ రాలేదు
రద్దు అనేది సర్టిఫికేట్ ధృవీకరణకు ఇన్పుట్, సెషన్ ముగించే ఆదేశం కాదు. కొత్త కనెక్షన్ మరియు నడుస్తున్న టన్నెల్ జాబితాను ఎలా చూస్తాయో పోల్చండి.
రద్దు ఎప్పుడూ నడుస్తున్న టన్నెల్ లోకి వెళ్లి సెషన్ తొలగించదు. జాబితా సర్టిఫికేట్ ధృవీకరణకు ఇన్పుట్ మరియు TLS సెషన్ ప్రారంభించే నియంత్రణ ఛానెల్ మార్పిడి సమయంలో దీన్ని చూస్తారు. ఈ ఒక్క వాస్తవం రెండు ఆశ్చర్యాలను వివరిస్తుంది: రద్దు చేసిన క్లయింట్ మళ్లీ కనెక్ట్ అవుతుంది, ఎందుకంటే జాబితా ఎప్పుడూ ధృవీకర్త వద్దకు చేరలేదు, మరియు ఉన్న సెషన్ బతికి ఉంటుంది, ఎందుకంటే ఎవరూ ఏదీ మళ్లీ ధృవీకరించలేదు.
జాబితా ఒక ఇన్పుట్, చర్య కాదు
సెషన్ స్థాపించేటప్పుడు సర్వర్ క్లయింట్ సర్టిఫికేట్ను తన విశ్వాస యాంకర్లకు వ్యతిరేకంగా ధృవీకరిస్తుంది, రద్దు సూచన ఆ నిర్ణయానికి జాబితా శోధనను జోడిస్తుంది. తనిఖీ సర్వర్లో జరుగుతుంది, కాబట్టి తన సర్టిఫికేట్ రద్దు అయిందని క్లయింట్ చూడలేడు మరియు అదే సర్టిఫికేట్ను ఇస్తూనే ఉంటాడు. కాబట్టి ఇంకా కనెక్ట్ అయ్యే ప్రొఫైల్ ఏదో ధృవీకర్త గొలుసును అంగీకరించాడని మాత్రమే నిరూపిస్తుంది, రద్దు విఫలమైందని కాదు.
జాబితా స్వయంగా జారీ తేదీ మరియు తదుపరి నవీకరణ తేదీ ఉన్న సంతకం చేసిన వస్తువు. సంబంధం లేని జాబితా, మరో అధికారి సంతకం చేసిన జాబితా లేదా తదుపరి నవీకరణ తేదీ దాటిపోయిన జాబితా ప్రస్తుత జాబితాకు ప్రత్యామ్నాయం కాదు, మరియు పాత జాబితా తిరస్కరించబడుతుందా లేదా నిశ్శబ్దంగా అంగీకరించబడుతుందా అనేది అమలుపై ఆధారపడి ఉంటుంది.
కొత్త కనెక్షన్ మరియు నడుస్తున్న సెషన్
సెషన్ స్థాపించినప్పుడు లేదా మళ్లీ చర్చలు జరిపినప్పుడు రద్దు మూల్యాంకనం చేయబడుతుంది, ప్రతి ప్యాకెట్పై డేటా ఛానెల్కు వ్యతిరేకంగా కాదు. ఇప్పటికే కనెక్ట్ అయిన క్లయింట్ ట్రాఫిక్ కీలను కలిగి ఉంటాడు, కాబట్టి అతని సర్టిఫికేట్ జాబితాలో కనిపించిన తర్వాత కూడా ప్యాకెట్లను పంపిస్తూనే ఉంటాడు. డిఫాల్ట్ పునఃచర్చల విరామం గంటల్లో కొలుస్తారు, కాబట్టి నవీకరించిన జాబితా కొత్తవారికి అమలవుతుంది, నడుస్తున్న టన్నెల్ మాత్రం కొనసాగుతుంది.
| Situation | What the list does | When it applies |
|---|---|---|
| Fresh connection | Blocks the handshake | At verification, immediately |
| Renegotiation | Blocks the new exchange | At the next renegotiation interval |
| Established data channel | Nothing | Until the session ends |
తక్షణ అమలుకు జాబితా మాత్రమే కాదు, ఉద్దేశపూర్వక చర్య కావాలి. సేవను పునఃప్రారంభిస్తే ప్రతి క్లయింట్ మళ్లీ కనెక్ట్ అవ్వాల్సి వస్తుంది, అయితే నిర్వహణ ఇంటర్ఫేస్ ద్వారా ఒక సెషన్ ముగిస్తే మిగతావి తాకబడకుండా ఉంటాయి. ప్రతి సంఘటనకు ఒకటి ఎంచుకోండి మరియు ఏది ఉపయోగించారో రాయండి. రెండు ఎంపికల ప్రభావ పరిధి వేరు, అదే నిజమైన నిర్ణయం.
ధృవీకర్త నిజంగా చదివే ఫైల్ను చేరవేయండి
జాబితా అధికారి రికార్డు నుండి సృష్టించి తర్వాత సర్టిఫికేట్లను ధృవీకరించే ప్రతి యంత్రానికి కాపీ చేయాలి. దాన్ని CA హోస్ట్లో సృష్టించి సర్వర్లో ఎప్పుడూ ఇన్స్టాల్ చేయకపోవడం అత్యంత సాధారణ వైఫల్యం, మరియు అది పాడైన రద్దు ఫీచర్లా కనిపిస్తుంది.
ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pemఫైల్ నిజంగా చదవబడుతుందా అనేది రెండు వివరాలు నిర్ణయిస్తాయి. సాపేక్ష మార్గం కాన్ఫిగరేషన్ డైరెక్టరీకి వ్యతిరేకంగా పరిష్కరించబడుతుంది, కాబట్టి ఆపరేటర్ ఇంట్లో మిగిలిన కాపీ ఎప్పుడూ కనబడకపోవచ్చు. మరియు డీమన్ సాధారణంగా ప్రారంభం తర్వాత హక్కులను వదిలేస్తుంది, కాబట్టి రన్టైమ్ ఖాతాకు ప్రతి మాతృ డైరెక్టరీలో శోధన అనుమతి మరియు ఫైల్పై చదవడం అనుమతి అవసరం. రెండింటినీ రన్టైమ్ ఖాతాతో తనిఖీ చేయండి, root తో కాదు, లేకపోతే పరీక్ష తప్పుడు విషయాన్ని నిరూపిస్తుంది.
systemd హోస్ట్లలో కఠినీకరించిన యూనిట్ కూడా మార్గాన్ని దాచగలదు, చదవడం-మాత్రమే వీక్షణ లేదా రక్షిత సిస్టమ్ డైరెక్టరీతో. సేవ లోపలి నుండి దీన్ని మాయమైన ఫైల్ నుండి వేరు చేయలేము, కాబట్టి అనుమతి లోపం కోసం వెళ్లే ముందు యూనిట్ పరిమితులను తనిఖీ చేయండి. ఫైల్ మోడ్ను నిందించే ముందు యూనిట్ ఫైల్ను చదవండి.
సర్వర్లో నిర్ధారించండి, క్లయింట్లో కాదు
సర్వర్ లాగ్ ఏం జరిగిందో పేర్కొంటుంది: జాబితా తెరవడం, దాన్ని లోడ్ చేయడం, లేదా రద్దు చేసిన క్రమ సంఖ్యతో ధృవీకరణ విఫలం కావడం. క్లయింట్ సాధారణ హ్యాండ్షేక్ వైఫల్యాన్ని మాత్రమే నివేదిస్తుంది, కాబట్టి రద్దు నిర్ణయాన్ని వెతకడానికి క్లయింట్ లాగ్లు చెడ్డ ప్రదేశం.
రద్దు చేసిన ప్రొఫైల్ నుండి కొత్త ప్రయత్నంతో ధృవీకరించి ఆపై ఆగండి. ఆ ప్రొఫైల్ నుండి విజయవంతమైన కనెక్షనే ఫైల్ మార్గాన్ని మరియు రన్టైమ్ ఖాతాను పరిశీలించడానికి సంకేతం, జాబితా తప్పు అని ఊహించడానికి కాదు. ఆ విజయవంతమైన ప్రయత్నాన్ని అంగీకార పరీక్షగా ఉంచండి, మరియు మీరు చూడని పునఃకనెక్షన్ను లెక్కించకండి.
ఏదీ రద్దు చేయని విషయం
ల్యాప్టాప్ నుండి ప్రొఫైల్ తొలగించడం, క్లయింట్ నుండి సర్టిఫికేట్ ఫైల్ను తీసేయడం లేదా వినియోగదారుని కనెక్ట్ అవ్వడం ఆపమని చెప్పడం సర్వర్లో ఏదీ మార్చదు. అధికారి రద్దును నమోదు చేసి ధృవీకర్త ఫలిత జాబితాను చదివే వరకు సర్టిఫికేట్ చెల్లుబాటులో ఉంటుంది.
అందుకే గొలుసును రాసి ఉంచడం విలువైనది: రద్దును నమోదు చేయండి, జాబితాను సృష్టించి సంతకం చేయండి, అదే ఫైల్ను పంపిణీ చేయండి, మరియు సేవా ఖాతా దాన్ని చదవగలదని నిర్ధారించండి. ప్రతి లింకు చిన్నది, ఏదైనా లింకు మిస్ అయితే రద్దు చేసిన క్లయింట్ సంతోషంగా కనెక్ట్ అవుతూనే ఉంటాడు. నాలుగు పంక్తుల చెక్లిస్ట్ ఒక్క పంక్తి లేని ఊహను ఓడిస్తుంది.