రద్దు చేసిన VPN సర్టిఫికెట్ ఇంకా కనెక్ట్ అవుతోందా? CRL అమలును తనిఖీ చేయండి

మీరు సర్టిఫికెట్ను రద్దు చేశారు, కొత్త జాబితా సృష్టించారు, పాత ప్రొఫైల్ ఇంకా టన్నెల్ లేపుతోంది. రద్దు చేయడం స్వయంగా పాడైనది కాదు: CRL అనేది క్రమ సంఖ్య ఇకపై చెల్లదని సంతకం చేసిన ప్రకటన, మరియు TLS ముగించే భాగం దాన్ని సరైన జారీదారు కోసం లోడ్ చేసినప్పుడే, అంగీకార నిర్ణయం తీసుకునే ముందే యాక్సెస్ను మారుస్తుంది. ఇలాంటి చాలా సందర్భాలు అక్కడే ఉన్నాయి, అందుకే రద్దు చేయడం మరియు తిరస్కరించడం రెండు వేర్వేరు వాస్తవాలు.

క్రింది ఐదు తనిఖీలను క్రమంగా చేయండి మరియు మొదటి విఫలమైన దగ్గర ఆగండి, ఎందుకంటే ప్రతి తదుపరి తనిఖీ మునుపటివి నిజమని ఊహిస్తుంది.

ఏ భాగం అంగీకార నిర్ణయం తీసుకుంటుందో తనిఖీ చేయండి

క్లయింట్ సర్టిఫికెట్ను ధృవీకరించే ప్రక్రియను పేర్కొనండి, ఎందుకంటే ఆ ప్రక్రియ మాత్రమే జాబితాను అమలు చేయగలదు. OpenVPN సర్వర్లో అది డెమన్ స్వయంగా, crl-verify తో కాన్ఫిగర్ చేయబడింది. ocserv లో అది ocserv.conf లోని crl పంక్తి. strongSwan లో ఇన్పుట్లు లోడ్ చేసిన CRL లు strictcrlpolicy తో కలిసి. VPN ముందు TLS ముగించే ప్రాక్సీ లేదా పరికరం కూడా నిజమైన ధృవీకర్త కావచ్చు, అలా అయితే దాని వెనుక ఉన్న డెమన్ క్లయింట్ సర్టిఫికెట్ను ఎప్పుడూ చూడదు.

WireGuard వేరే వర్గానికి చెందుతుంది. దానికి సర్టిఫికెట్లు లేవు, రద్దు జాబితా లేదు; పీర్ కాన్ఫిగరేషన్లోని దాని పబ్లిక్ కీ ద్వారా అంగీకరించబడుతుంది, కాబట్టి యాక్సెస్ ముగించడం అంటే ఆ కీని తొలగించడం. WireGuard మాత్రమే ఉన్న డిప్లాయ్మెంట్లో CRL వెతుకుతుంటే, ఆ యంత్రాంగం అక్కడ లేదు.

క్లయింట్ వైపు ఉన్న ఉచ్చు నుండి కూడా జాగ్రత్తగా ఉండండి. సర్వర్ సర్టిఫికెట్ నచ్చక కనెక్ట్ కావడానికి నిరాకరించే క్లయింట్ సర్వర్ గొలుసును అమలు చేస్తోంది, తన సొంత ఆధారాలను రద్దు చేయడం లేదు. వినియోగదారు సర్టిఫికెట్ ఆ సర్టిఫికెట్ ధృవీకరించబడే చోట మాత్రమే రద్దు చేయబడుతుంది, మరియు అది దాదాపు ఎప్పుడూ సర్వర్ వైపే ఉంటుంది.

జాబితా ఏ జారీదారు కోసం సంతకం చేయబడిందో తనిఖీ చేయండి

CRL ఒకే జారీ చేసే CA కి పరిమితం. రూట్ మరియు మధ్యస్థ CA ఉన్నప్పుడు ఆకు సర్టిఫికెట్లు మధ్యస్థం నుండి వస్తాయి, కాబట్టి ముఖ్యమైన జాబితా మధ్యస్థం యొక్క CRL; రూట్ జాబితా ఆ ఆకుల గురించి ఏమీ చెప్పదు. తప్పు ఫైల్ వైపు చూపే ధృవీకర్త దాన్ని సంతోషంగా పార్స్ చేస్తుంది, సరిపోలే నమోదు కనుగొనదు మరియు అన్నింటినీ అంగీకరిస్తుంది.

డెమన్ను తాకే ముందు జతను నిర్ధారించండి. సర్టిఫికెట్పై ఉన్న జారీదారు జాబితా subject తో సరిపోలాలి:

openssl x509 -in client.crt -noout -issuer -serial
openssl crl  -in intermediate.crl -noout -issuer -lastupdate -nextupdate

రెండూ ఒకే CA నుండి వచ్చినప్పుడు, సర్టిఫికెట్ కోసం ముద్రించిన క్రమ సంఖ్యే జాబితాలో రావాల్సిన విలువ. అవి సరిపోలకపోతే, మీ దగ్గర తప్పు CRL లేదా దాని తప్పు కాపీ ఉంది.

చెల్లుబాటు అదే తనిఖీకి చెందుతుంది. గతంలోని nextUpdate జాబితాను పాతదిగా చేస్తుంది, మరియు మూసి విధంగా విఫలమయ్యే ధృవీకర్త అప్పుడు రద్దు చేసినది మాత్రమే కాక ప్రతి క్లయింట్ను తిరస్కరిస్తుంది.

క్రమ సంఖ్య డెమన్ లోడ్ చేసిన కాపీలో ఉందో లేదో తనిఖీ చేయండి

రద్దు చేయడం CA డేటాబేస్లో నమోదు రాస్తుంది, పునరుత్పత్తి కొత్త ఫైల్ రాస్తుంది. రెండింటిలో ఏదీ ప్రారంభంలో పాత కాపీని లోడ్ చేసిన నడుస్తున్న డెమన్ను చేరుకోదు. జాబితాను డంప్ చేసి క్రమ సంఖ్యను వెతకండి:

openssl crl -in intermediate.crl -noout -text | grep -i -A2 'Serial Number'
openssl ca -revoke client.crt
openssl ca -gencrl -out intermediate.crl

తర్వాత మీ అమలు ఫైల్ను ఎలా తీసుకుంటుందో తనిఖీ చేయండి. OpenVPN crl-verify కి ఇచ్చిన మార్గాన్ని ప్రారంభంలో ఒకసారి చదువుతుంది, కాబట్టి కొత్త జాబితాకు పునఃప్రారంభం లేదా పునఃప్రారంభ సిగ్నల్ అవసరం; అదే ఎంపిక ఏదైనా డైరెక్టరీ వైపు ఉంటే ప్రతి కనెక్షన్కు మళ్లీ చదవబడుతుంది, అందుకే డైరెక్టరీ మోడ్ ఉంది. strongSwan తన ఆధారాలను మళ్లీ లోడ్ చేసుకోవాలి, ఉదాహరణకు swanctl --load-creds తో. ఫైల్ డిస్క్లో సరిగ్గా ఉండడం మరియు ధృవీకర్త దాన్ని ఉపయోగించడం రెండు వేర్వేరు వాస్తవాలు.

తప్పిపోయిన లేదా గడువు ముగిసిన జాబితా విధానాన్ని తనిఖీ చేయండి

ఇది చాలా డిప్లాయ్మెంట్లు ఎప్పుడూ స్పష్టంగా తీసుకోని నిర్ణయం, మరియు రద్దు మీకు రక్షణ ఇస్తుందా లేదా అందరినీ బయట లాక్ చేస్తుందా అని నిర్ణయిస్తుంది. Fail-closed అంటే ఉపయోగించగల రద్దు సమాచారం లేకుండా తిరస్కరణ జరుగుతుంది; fail-open అంటే ధృవీకర్త దాని లేకుండా కొనసాగుతుంది. strongSwan ఎంపికను strictcrlpolicy గా చూపిస్తుంది. OpenVPN crl-verify తో చదవలేని లేదా పార్స్ చేయలేని ఫైల్పై ప్రారంభం కావడానికి నిరాకరిస్తుంది, మరియు గడువు ముగిసిన జాబితా నిశ్శబ్ద అంగీకారానికి బదులు గడువు ముగిసిన CRL గురించి TLS ధృవీకరణ లోపంగా కనిపిస్తుంది.

మీరు ఏ దిశను ఎంచుకున్నా, ఆటోమేషన్ ఎంపిక కంటే ముఖ్యం: CRL ను nextUpdate ముందు పునరుత్పత్తి చేసే పని, మరియు డిప్లాయ్ చేసిన కాపీ పాతదైనప్పుడు హెచ్చరిక, రెండు విధానాలను సంఘటనగా మారకుండా ఆపుతాయి. OCSP తో ఆన్లైన్ తనిఖీ తాజాదనాన్ని స్పందించేవారి వైపు కదిలిస్తుంది, కానీ అదే నియమం వర్తిస్తుంది, ఎందుకంటే సమాధానాన్ని తనిఖీ చేయడానికి కాన్ఫిగర్ చేయని ధృవీకర్త ఏమీ మార్చదు.

సక్రియ సెషన్ను, తర్వాత కీ కాపీలను తనిఖీ చేయండి

రద్దు సర్టిఫికెట్ ధృవీకరణ సమయంలో అంచనా వేయబడుతుంది, ఇది కనెక్ట్ అయినప్పుడు మరియు మళ్లీ సంప్రదింపుల సమయంలో జరుగుతుంది. స్థాపించిన సెషన్ మళ్లీ సంప్రదింపు చేసుకునే వరకు కొనసాగుతుంది, మరియు OpenVPN డిఫాల్ట్ reneg-sec 3600 తో గంటకు ఒకసారి. వ్యక్తి ఇప్పుడే నెట్వర్క్ నుండి బయటకు వెళ్లాల్సి ఉంటే, జాబితాను ప్రచురించడంతో పాటు సెషన్ను కూడా ముగించండి, ఆపై తిరిగి కనెక్ట్ తిరస్కరించబడుతుందని నిర్ధారించండి.

ఆధారాలను వాటి కాపీల నుండి వేరు చేయండి. ఒక ల్యాప్టాప్లో ప్రొఫైల్ను తొలగించడం అదే ప్రైవేట్ కీ యొక్క మరో కాపీ ధృవీకరణను ఆపదు; రద్దు చేయడమే ప్రతి కాపీని పనికిరానిదిగా చేస్తుంది, అది కూడా మునుపటి తనిఖీలు సరిగ్గా ఉన్నప్పుడే. ప్రత్యామ్నాయ పరికరానికి దాని స్వంత సర్టిఫికెట్ ఇవ్వండి, ఒకదాన్ని మరొకదాన్ని తాకకుండా రద్దు చేయగలిగేలా.

దీన్ని పూర్తయిందని చెప్పే ముందు: ధృవీకరించే భాగం గుర్తించబడింది, జాబితా జారీదారు ఆకు జారీదారుతో సరిపోలుతుంది, రద్దు చేసిన క్రమ సంఖ్య డెమన్ నిజంగా లోడ్ చేసిన కాపీలో ఉంది, తప్పిపోయిన లేదా గడువు ముగిసిన జాబితాల విధానం ఉద్దేశపూర్వకం మరియు పర్యవేక్షణలో ఉంది, మరియు సక్రియ సెషన్ ఎదురుచూడడం బదులు ముగించబడింది. ఇవన్నీ వెనుక ఉన్న ఫార్మాట్లు RFC 5280 లో పేర్కొనబడ్డాయి.