Paalisin ang isang OpenVPN client: kill, deny o bawiin ang sertipiko?

Mayroon kang common name at address sa iyong mga tala, at tatlong utos na mukhang nag-aalis ng kliyente. Isa lang ang gumagawa ng gusto mo, at ang pagpili ay nakasalalay kung kailangan mong tapusin ang sesyong tumatakbo ngayon, tanggihan ang susunod na pag-login, o alisin ang karapatang kumonekta nang tuluyan. Basahin ang pagkakakilanlang hawak mo talaga bago ka humawak ng kahit ano, dahil ang isang pool ng OpenVPN ay nagbibigay ng parehong tunnel address sa ibang sesyon mamaya.

Aling pagkakakilanlan ang hawak mo talaga

Ang status file ng bersyon 3 ang karaniwang simula. Ang seksyong CLIENT_LIST ay may common name, tunay na address, mga byte counter at oras ng koneksyon; ang seksyong ROUTING TABLE ay nag-uugnay ng virtual address sa isang common name na may timestamp ng huling sanggunian. Ang common name ang matatag na pagkakakilanlan. Ang virtual address ay isang pagtatalaga, at ang tunay na address sa likod ng NAT ay maaaring magbago sa pagitan ng mga sesyon nang walang nagbabago sa server.

Ipinapakita ng management interface ang katulad na tanawin sa pamamagitan ng utos nitong status at nagdaragdag ng client ID bawat sesyon. Iyon ang ID na inaasahan ng client-kill, at hindi ito ang tunnel address. Kung kailangan mong malaman kung aling common name ang tumanggap ng aling address sa oras ng koneksyon, ang kapaligiran ng isang client-connect script ay may dalawa, kasama ang pinagkakatiwalaang panlabas na address, ngunit ang script na iyon ay tumatakbo bilang OpenVPN user at nangangailangan ng masusulatang log path.

Patayin ngayon, tanggihan sa pag-login, bawiin nang tuluyan

Ang dalawang utos ng pag-aalis sa management interface ay mga aksyon ng sesyon. Ang kill ay tumatanggap ng common name o tunay na address at port; ang client-kill ay tumatanggap ng client ID at tinatapos agad ang instance na iyon. Wala sa dalawa ang harang: ang naalis na kliyenteng may valid na sertipiko at password ay kumokonekta muli sa loob ng ilang segundo, na mabuti kapag nire-recycle mo ang isang test peer at walang silbi kapag may ninakaw na laptop.

Ang client-deny ay ibang uri ng desisyon. Karaniwan itong inilalabas mula sa authentication o client-connect hook at tinatanggihan ang sesyon na may dahilan, kaya bagay ito sa patakarang tumatanggi sa pag-login kaysa sa isang humihinto sa koneksyon. Nagbababala rin ang dokumentasyon na ang pagtangging inilabas habang may TLS renegotiation ay nagpapawalang-bisa sa renegotiated key habang ang umiiral na sesyon ay maaaring magpatuloy hanggang magsara ang transition window. Kung ang pangangailangan ay wala na ang kliyente ngayon, ang nakadokumentong sagot ay client-kill.

Ang pangmatagalang pag-aalis ay nasa ilalim ng lahat ng ito. Bawiin ang sertipiko at tiyakin na ang crl-verify ay nakaturo sa listahang talagang nilo-load muli ng server, huwag paganahin ang configuration file na partikular sa kliyente sa ccd directory, o huwag paganahin ang account sa alinmang backend na tinatanong ng authentication hook. Hindi rin agaran ang pagbawi: sa default na setting ng reneg-sec, ang naitatag na sesyon ay maaaring magpatuloy hanggang mag-renegotiate, kaya ang aksyon sa sesyon at ang aksyon sa kredensyal ay komplementaryo, hindi alternatibo.

Malaya ba ang management socket?

Ang management interface ay naglilingkod sa isang kliyente sa isang pagkakataon. Kung may GUI o monitoring daemon na may hawak na ng koneksyon, hindi makakasama ang script mo sa tabi nito, at depende sa kliyente ay maaaring itulak mo palabas ang umiiral kaysa mabigong malinis. Ang password nito ay naglalakbay sa plain text sa socket na iyon, kaya para ito sa lokal na address o unix socket, hindi kailanman sa pampublikong interface.

Kapag hindi mo makuha ang socket, may mga opsyon ka pa, at lahat ay mas mabagal. Ilabas muna ang sesyon ng GUI kung kontrolado mo ito, o tanggapin ang ruta sa credential layer at hintayin ang susunod na renegotiation. Ang hindi mo dapat gawin ay i-restart ang serbisyo para maalis ang isang kliyente, dahil tinatapos din nito ang lahat ng ibang sesyon at sinisira ang ebidensya ng status file para sa isang ito.

Ang pagkakasunod-sunod na pinapatakbo ko sa live na server

Kumonekta, basahin ang kasalukuyang estado, kumilos sa ID na kababasa mo lang, pagkatapos basahin itong muli. Ang mga halagang kinopya mula sa dokumento ang pinakakaraniwang paraan para mapatay ang maling tao.

status                     # note the client ID and common name
client-kill 3              # end that session now
kill Test-Client           # alternative: by common name
status                     # confirm the session is gone

Ang pangalan at numero sa itaas ay mga placeholder, at ang mga ID ay ginagamit muli pagkatapos mag-disconnect ang ibang kliyente. Kumpirmahin na wala ang hilera bago mo isulat ang anuman bilang tapos, at tingnan na ang bilang ng konektadong kliyente ay gumalaw nang isa at hindi nang marami.

Kumpirmahin na nanatili siyang malayo

Itala ang common name, tunnel address, panlabas na address at ang minuto ng pag-aalis. Kung ang parehong common name ay muling lumitaw makalipas ang isang minuto, gumana ang aksyon sa sesyon at hindi ang credential layer, na isang ganap na ibang pag-aayos kaysa sa utos na hindi kailanman nagsimulang gumana.

Pagkatapos ay subukan mula sa panig ng kliyente. Ang binawing sertipiko ay dapat mabigo sa susunod na handshake; kung kumokonekta pa rin ito, hindi binabasa ang CRL nang buo, at iyon ang natuklasang sulit iulat. Piliin ang aksyon ayon sa kailangan mong tapusin, kumpirmahin gamit ang pangalawang status, at ayusin ang credential layer kapag ang sagot ay kailangang tumagal nang higit sa sesyon.