Bir OpenVPN istemcisini sertifikasını iptal etmeden askıya alın

Bir dizüstü bilgisayar bir hafta tamir tezgahına gittiğinde, olağan dürtü sertifikasını CA'dan kaldırmaktır. Bu kayıt verenin defteridir, geçici bir erişim anahtarı değildir. OpenVPN zaten her istemci için bağlantıyı reddetme mekanizmasına sahiptir ve bunu kullanmak CA'nın geçmişini bozulmadan korur. İki kontrol farklı soruları yanıtlar ve bunları karıştırmak cihaz geri döndüğünde iş yaratır.

İki kayıt, iki farklı iş

CA veritabanı, verenin neyi imzaladığını ve daha sonra neyi iptal ettiğini kaydeder. Ona iptal akışları ve CRL'yi ya da defterin kendi kopyasını okuyan her şey başvurur. Erişim kuralı sunucuda yaşar ve o sunucunun kabul ettiği bağlantılara uygulanır.

Bir düzenleme kaydını silmek sertifikayı güvenilir biçimde iptal etmez ve sonraki iptal ya da denetimin dayandığı geçmişe zarar verir. Sunucu tarafındaki kontrol daha dardır ve geri alınabilir. Farkı değişiklik notuna yazın ki bir sonraki kişi hiç yaşanmamış bir iptali aramasın.

Devre dışı bırakma yönergesini doğru dosyaya koyun

İstemciye özel yapılandırma kullanan bir topluluk sunucusu için belgelenmiş disable yönergesi seçilen bir istemciyi reddeder. Bu yönerge etkin client-config-dir altındaki o istemcinin dosyasına aittir, sunucunun ana yapılandırmasına değil. Çalışan daemonun gerçekte hangi dizini kullandığını doğrulayın, ardından dosyayı seçen kimliği doğrulayın. Yanlış ortak adla adlandırılan dosya doğru görünür ve asla okunmaz.

disable

Eşleme seçimleri burada önemlidir. username-as-common-name gibi seçenekler aramanın hangi kimliği kullandığını değiştirir, bu nedenle sertifikanın öznesiyle adlandırılan dosya uygulanan dosya olmayabilir. Kurulu sürüm için OpenVPN başvurusunu okuyun, yönergenin her bağlamda geçerli olduğunu varsaymayın.

Yeni kabulü etkin oturumlardan ayırın

Sıradaki el sıkışmayı reddetmek, zaten ayakta olan bir tüneli bitirmez. Cihaz şimdi bağlantıdan çıkarılacaksa, o belirli oturum için sunucunun yetkili oturum yönetimi yolunu da kullanın. Aksi halde istemci kendi kendine yeniden bağlanana kadar çalışmaya devam edebilir ve dizüstü kapağını kapatmak ya da istemciden çıkmak sunucu hakkında hiçbir şey söylemeyen istemci tarafı eylemdir.

İki sonucu da doğrulayın: etkin oturum istediğiniz anda durur ve yeni el sıkışma reddedilir. Kapatılmış bir istemci penceresi sunucunun politikası hakkında hiçbir şey kanıtlamaz.

Dağıtımın etkin bir oturumu bitirmek için desteklenen bir yolu yoksa, bir tane uydurmak yerine bu boşluğu kaydedin. İstemcide engellenen bir bağlantı noktası, sunucu tarafındaki politikayla aynı şey değildir.

Duraklatma ve ihlal farklı olaylardır

Kayıp veya çalınmış bir anahtar bir iptal olayıdır ve yerel erişim duraklatması onun yerini tutmaz. Aynı CA'ya güvenen diğer sunucular bu sunucunun istemciye özel kuralını paylaşmaz. Verenin iptal ve değiştirme sürecini izleyin ve CA veritabanını yetkili kayıt olarak tutun. Geçici bir duraklatma ise belgelenmiş bir gerekçe ve geri yükleme adımı gerektirir.

Erişim geri geldiğinde, kısıtlamayı ona sahip olan bileşen üzerinden kaldırın ve yeni bir bağlantının başarılı olduğunu doğrulayın. disable satırının yolunu da kaydedin, çünkü sonraki bir yapılandırma eşitlemesi onu sessizce geri koyabilir. Duraklatmayı, sahibini ve tarihi dağıtım notlarında tutun ki bir sonraki yönetici aylar sonra açıklanamayan bir disable satırı bulmasın.