İptal edilen istemci hâlâ bağlanıyor: liste hiç ulaşmadı

İptal, çalışan bir tünele girip oturumu silmez. Liste, sertifika doğrulamasına bir girdidir ve TLS oturumunu başlatan denetim kanalı alışverişi sırasında okunur. Bu tek gerçek iki sürprizi de açıklar: iptal edilen istemci yeniden bağlanır çünkü liste doğrulayıcıya hiç ulaşmadı, ve mevcut oturum hayatta kalır çünkü kimse hiçbir şeyi yeniden doğrulamadı.

Liste bir girdidir, eylem değil

Oturum kurulurken sunucu istemci sertifikasını kendi güven çapalarına karşı doğrular ve iptal direktifi bu karara bir liste araması ekler. Denetim sunucuda gerçekleşir, bu yüzden istemci sertifikasının iptal edildiğini göremez ve aynı sertifikayı sunmaya devam eder. Dolayısıyla hâlâ bağlanan bir profil yalnızca bir doğrulayıcının zinciri kabul ettiğini kanıtlar, iptalin başarısız olduğunu değil.

Listenin kendisi, düzenlenme tarihi ve sonraki güncelleme tarihi olan imzalı bir nesnedir. İlgisiz bir liste, başka bir otorite tarafından imzalanmış bir liste ya da sonraki güncellemesi geçmiş bir liste mevcut olanın yerini tutmaz ve eski bir listenin reddedilip edilmeyeceği ya da sessizce kabul edilip edilmeyeceği kuruluma bağlıdır.

Yeni bağlantı ve çalışan oturum

İptal, bir oturum kurulduğunda veya yeniden müzakere edildiğinde değerlendirilir, her pakette veri kanalına karşı değil. Zaten bağlı olan istemcinin trafik anahtarları vardır, bu yüzden sertifikası listede göründükten sonra da paketleri geçirmeye devam eder. Varsayılan yeniden müzakere aralığı saatlerle ölçülür, bu nedenle güncellenmiş liste yeni gelenler için yürürlüğe girebilirken çalışan tünel ayakta kalır.

Anında uygulama, yalnızca liste değil bilinçli bir eylem gerektirir. Hizmeti yeniden başlatmak her istemciyi yeniden bağlanmaya zorlar, tek bir oturumu yönetim arayüzünden sonlandırmak ise diğerlerini dokunulmadan bırakır. Her olay için birini seçin ve hangisini kullandığınızı not edin. İki seçeneğin etki alanı farklıdır ve gerçek karar budur.

Doğrulayıcının gerçekten okuduğu dosyayı teslim edin

Liste, otoritenin kaydından üretilmeli ve ardından sertifika doğrulayan her makineye kopyalanmalıdır. Onu CA ana bilgisayarında üretip sunucuya hiç kurmamak en yaygın hatadır ve tam olarak bozuk bir iptal özelliği gibi görünür.

ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pem

Dosyanın gerçekten okunup okunmadığına iki ayrıntı karar verir. Göreli bir yol yapılandırma dizinine göre çözülür, bu yüzden bir işletmenin ev dizininde bırakılan kopya hiç bulunmayabilir. Ayrıca arka plan programı genellikle başladıktan sonra ayrıcalıklarından vazgeçer, bu yüzden çalışma hesabının her üst dizinde arama iznine ve dosyada okuma iznine ihtiyacı vardır. İkisini de root yerine çalışma hesabıyla denetleyin, yoksa test yanlış şeyi kanıtlar.

systemd ana bilgisayarlarında sertleştirilmiş bir birim yolu da gizleyebilir; salt okunur bir görünüm veya korumalı sistem diziniyle. Hizmetin içinden bu, eksik bir dosyadan ayırt edilemez, bu yüzden bir izin hatası aramaya gitmeden önce birimin kısıtlamalarını denetleyin. Dosyanın kipini suçlamadan önce birim dosyasını okuyun.

Sunucuda doğrulayın, istemcide değil

Sunucu günlüğü ne olduğunu adlandırır: listenin açılması, yüklenmesi veya iptal edilen seri numarasıyla doğrulamanın başarısız olması. İstemci yalnızca genel bir el sıkışma hatası bildirir, bu yüzden istemci günlükleri iptal kararı aramak için kötü bir yerdir.

İptal edilen profilden yeni bir denemeyle doğrulayın ve sonra durun. O profilden başarılı bir bağlantı, dosya yolunu ve çalışma hesabını incelemek için işarettir, listenin yanlış olduğunu varsaymak için değil. O başarılı denemeyi kabul testi olarak saklayın ve izlemediğiniz bir yeniden bağlanmayı saymayın.

Hiçbir şeyi iptal etmeyen şey

Profili dizüstü bilgisayardan silmek, sertifika dosyasını istemciden kaldırmak veya kullanıcıya bağlanmayı bırakmasını söylemek sunucuda hiçbir şeyi değiştirmez. Sertifika, otorite iptali kaydedene ve doğrulayıcı ortaya çıkan listeyi okuyana kadar geçerli kalır.

Bu yüzden zinciri yazmaya değer: iptali kaydedin, listeyi üretip imzalayın, tam olarak o dosyayı dağıtın ve hizmet hesabının onu okuyabildiğini doğrulayın. Her halka kısadır ve eksik olan herhangi biri iptal edilmiş bir istemciyi neşeyle bağlanırken bırakır. Dört satırlık bir kontrol listesi, tek satırı olmayan bir varsayımdan iyidir.