ระงับไคลเอนต์ OpenVPN หนึ่งรายโดยไม่เพิกถอนใบรับรอง

เมื่อแล็ปท็อปถูกส่งไปที่โต๊ะซ่อมเป็นเวลาหนึ่งสัปดาห์ ปฏิกิริยาปกติคือการลบใบรับรองออกจาก CA บันทึกนั้นคือทะเบียนของผู้้ออก ไม่ใช่สวิตช์การเข้าถึงชั่วคราว OpenVPN มีกลไกต่อไคลเอนต์สำหรับปฏิเสธการเชื่อมต่ออยู่แล้ว และการใช้กลไกนั้นทำให้ประวัติของ CA ยังคงสมบูรณ์ การควบคุมทั้งสองตอบคำถามต่างกัน และการนำมาปนกันทำให้เกิดงานเมื่ออุปกรณ์กลับมา

สองบันทึก สองหน้าที่ต่างกัน

ฐานข้อมูลของ CA บันทึกว่าผู้ออกลงนามอะไรและเพิกถอนอะไรในภายหลัง กระบวนการเพิกถอนและทุกสิ่งที่อ่าน CRL หรือสำเนาทะเบียนของตนเองจะสอบถามฐานข้อมูลนี้ กฎการเข้าถึงอยู่บนเซิร์ฟเวอร์และใช้กับการเชื่อมต่อที่เซิร์ฟเวอร์นั้นยอมรับ

การลบบันทึกการออกใบรับรองไม่ได้เพิกถอนใบรับรองอย่างน่าเชื่อถือ และทำลายประวัติที่การเพิกถอนหรือการตรวจสอบในภายหลังต้องพึ่งพา การควบคุมฝั่งเซิร์ฟเวอร์แคบกว่าและย้อนกลับได้ จดความแตกต่างไว้ในบันทึกการเปลี่ยนแปลง เพื่อให้คนถัดไปไม่ต้องตามหาการเพิกถอนที่ไม่เคยเกิดขึ้น

วางคำสั่งปิดใช้งานในไฟล์ที่ถูกต้อง

สำหรับเซิร์ฟเวอร์ชุมชนที่ใช้การกำหนดค่าเฉพาะไคลเอนต์ คำสั่ง disable ที่มีเอกสารระบุจะปฏิเสธไคลเอนต์หนึ่งรายที่เลือกไว้ คำสั่งนี้อยู่ในไฟล์ของไคลเอนต์นั้นภายใต้ client-config-dir ที่ใช้งานอยู่ ไม่ใช่ในการกำหนดค่าหลักของเซิร์ฟเวอร์ ตรวจสอบไดเรกทอรีที่เดมอนซึ่งทำงานอยู่ใช้จริง แล้วยืนยันตัวตนที่เลือกไฟล์ ไฟล์ที่ตั้งชื่อตามชื่อสามัญผิดจะดูถูกต้องและไม่เคยถูกอ่าน

disable

การเลือกการแมปมีความสำคัญที่นี่ ตัวเลือกอย่าง username-as-common-name เปลี่ยนตัวตนที่การค้นหาใช้ ดังนั้นไฟล์ที่ตั้งชื่อตามชื่อหัวข้อของใบรับรองอาจไม่ใช่ไฟล์ที่ถูกนำไปใช้ อ่าน คู่มือ OpenVPN สำหรับเวอร์ชันที่ติดตั้ง แทนที่จะถือว่าคำสั่งใช้ได้ในทุกบริบท

แยกการรับเข้าใหม่จากเซสชันที่ใช้งานอยู่

การปฏิเสธแฮนด์เชกครั้งต่อไปไม่ได้สิ้นสุดทันเนลที่เปิดอยู่แล้ว หากต้องตัดการเชื่อมต่ออุปกรณ์ตอนนี้ ให้ใช้เส้นทางการจัดการเซสชันที่ได้รับอนุญาตของเซิร์ฟเวอร์สำหรับเซสชันนั้นด้วย มิฉะนั้นไคลเอนต์อาจทำงานต่อจนกว่าจะเชื่อมต่อใหม่เอง และการปิดฝาแล็ปท็อปหรือออกจากไคลเอนต์เป็นการกระทำฝั่งไคลเอนต์ที่ไม่บอกอะไรเกี่ยวกับเซิร์ฟเวอร์

ตรวจสอบผลลัพธ์ทั้งสอง: เซสชันที่ใช้งานอยู่หยุดเมื่อคุณต้องการ และแฮนด์เชกใหม่ถูกปฏิเสธ หน้าต่างไคลเอนต์ที่ปิดไม่ได้พิสูจน์อะไรเกี่ยวกับนโยบายของเซิร์ฟเวอร์

หากการติดตั้งไม่มีวิธีที่รองรับในการสิ้นสุดเซสชันที่ใช้งานอยู่ ให้บันทึกช่องว่างนั้นแทนการคิดค้นขึ้นมา พอร์ตที่ถูกบล็อกบนไคลเอนต์ไม่เหมือนกับนโยบายฝั่งเซิร์ฟเวอร์

การหยุดชั่วคราวและการถูกบุกรุกเป็นเหตุการณ์ที่ต่างกัน

กุญแจที่หายหรือถูกขโมยเป็นเหตุการณ์เพิกถอน และการหยุดการเข้าถึงในเครื่องไม่ใช่สิ่งทดแทน เซิร์ฟเวอร์อื่นที่เชื่อถือ CA เดียวกันจะไม่ใช้กฎเฉพาะไคลเอนต์ของเซิร์ฟเวอร์นี้ ปฏิบัติตามกระบวนการเพิกถอนและเปลี่ยนของผู้ออก และเก็บฐานข้อมูล CA เป็นบันทึกที่มีอำนาจ ส่วนการหยุดชั่วคราวต้องมีเหตุผลที่บันทึกไว้และขั้นตอนการคืนสภาพ

เมื่อเข้าถึงได้อีกครั้ง ให้ลบข้อจำกัดผ่านองค์ประกอบที่เป็นเจ้าของ และยืนยันว่าการเชื่อมต่อใหม่สำเร็จ บันทึกเส้นทางของบรรทัด disable ด้วย เพราะการซิงก์การกำหนดค่าในภายหลังอาจใส่กลับอย่างเงียบ ๆ เก็บการหยุดชั่วคราว เจ้าของ และวันที่ไว้ในบันทึกการติดตั้ง เพื่อให้ผู้ดูแลคนถัดไปไม่พบบรรทัด disable ที่อธิบายไม่ได้ในอีกหลายเดือน