Bekor qilingan mijoz hali ham ulanadi: ro’yxat hech qachon yetib kelmadi

Bekor qilish hech qachon ishlab turgan tunnel ichiga kirib sessiyani o’chirmaydi. Ro’yxat sertifikat tekshiruviga kirish bo’lib, TLS sessiyasini boshlovchi boshqaruv kanali almashinuvi paytida o’qiladi. Shu bir fakt ikkala ajablanishni ham tushuntiradi: bekor qilingan mijoz qayta ulanadi, chunki ro’yxat hech qachon tekshiruvchiga yetib kelmadi, va mavjud sessiya tirik qoladi, chunki hech kim hech narsani qayta tekshirmadi.

Ro’yxat — kirish, harakat emas

Sessiya o’rnatilayotganda server mijoz sertifikatini o’z ishonch ankerlariga qarshi tekshiradi va bekor qilish direktivasi bu qarorga ro’yxatdan qidirishni qo’shadi. Tekshiruv serverda bo’ladi, shuning uchun mijoz sertifikati bekor qilinganini ko’ra olmaydi va o’sha sertifikatni taklif qilishda davom etadi. Shuning uchun hali ham ulanadigan profil faqat qandaydir tekshiruvchi zanjirni qabul qilganini isbotlaydi, bekor qilish muvaffaqiyatsiz bo’lganini emas.

Ro’yxatning o’zi chiqarilgan sana va keyingi yangilanish sanasi bo’lgan imzolangan obyekt. Aloqasiz ro’yxat, boshqa organ imzolagan ro’yxat yoki keyingi yangilanish sanasi o’tib ketgan ro’yxat joriy ro’yxatning o’rnini bosmaydi, eskirgan ro’yxat rad etiladimi yoki jimgina qabul qilinadimi — bu joylashtirishga bog’liq.

Yangi ulanish va ishlab turgan sessiya

Bekor qilish sessiya o’rnatilganda yoki qayta muzokara qilinganda baholanadi, har bir paketda ma’lumot kanaliga qarshi emas. Allaqachon ulangan mijoz trafik kalitlarini ushlab turadi, shuning uchun sertifikati ro’yxatda paydo bo’lgandan keyin ham paketlarni o’tkazishda davom etadi. Standart qayta muzokara oralig’i soatlarda o’lchanadi, shuning uchun yangilangan ro’yxat yangi kelganlar uchun kuchga kirishi mumkin, ishlab turgan tunnel esa qoladi.

Darhol ijro etish ro’yxatning o’zidan emas, ataylab qilingan harakatdan talab qiladi. Xizmatni qayta ishga tushirish har bir mijozni qayta ulanishga majbur qiladi, boshqaruv interfeysi orqali bitta sessiyani tugatish esa qolganlariga tegmaydi. Har bir hodisa uchun bittasini tanlang va qaysi birini ishlatganingizni yozib qo’ying. Ikki variantning ta’sir doirasi har xil, va haqiqiy qaror shu.

Tekshiruvchi haqiqatan o’qiydigan faylni yetkazing

Ro’yxat organ yozuvidan yaratilib, keyin sertifikatlarni tekshiruvchi har bir mashinaga ko’chirilishi kerak. Uni CA xostida yaratib, serverga hech qachon o’rnatmaslik eng ko’p uchraydigan nosozlik bo’lib, u butunlay buzilgan bekor qilish funksiyasiga o’xshaydi.

ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pem

Fayl haqiqatan o’qilishini ikki tafsilot hal qiladi. Nisbiy yo’l konfiguratsiya jildiga nisbatan hal qilinadi, shuning uchun operatorning uyida qolgan nusxa hech qachon topilmasligi mumkin. Va demon odatda ishga tushgandan keyin imtiyozlardan voz kechadi, shuning uchun ish vaqti hisobiga har bir ota-jildda qidirish ruxsati va faylda o’qish ruxsati kerak. Ikkalasini ham root bilan emas, ish vaqti hisobi bilan tekshiring, aks holda test noto’g’ri narsani isbotlaydi.

systemd xostlarida qotirilgan unit ham yo’lni yashirishi mumkin, faqat o’qish ko’rinishi yoki himoyalangan tizim jildi bilan. Xizmat ichidan buni yo’qolgan fayldan ajratib bo’lmaydi, shuning uchun ruxsat xatosini qidirishga ketishdan oldin unit cheklovlarini tekshiring. Fayl rejimini ayblashdan oldin unit faylini o’qing.

Serverda tasdiqlang, mijozda emas

Server jurnali nima bo’lganini nomlaydi: ro’yxatni ochish, uni yuklash yoki bekor qilingan seriya raqami bilan tekshiruvning muvaffaqiyatsizligi. Mijoz faqat umumiy qo’l berish nosozligini xabar qiladi, shuning uchun bekor qilish qarorini qidirish uchun mijoz jurnallari yomon joy.

Bekor qilingan profildan yangi urinish bilan tekshiring va keyin to’xtang. O’sha profildan muvaffaqiyatli ulanish fayl yo’li va ish vaqti hisobini ko’rishga signal, ro’yxat xato bo’lgan deb taxmin qilishga emas. O’sha muvaffaqiyatli urinishni qabul testi sifatida saqlang va o’zingiz kuzatmagan qayta ulanishni sanamang.

Hech narsani bekor qilmaydigan narsa

Profilni noutbukdan o’chirish, sertifikat faylini mijozdan olib tashlash yoki foydalanuvchiga ulanishni to’xtatishni aytish serverda hech narsani o’zgartirmaydi. Sertifikat organ bekor qilishni qayd etmaguncha va tekshiruvchi natijaviy ro’yxatni o’qimaguncha amal qiladi.

Shuning uchun zanjirni yozib qo’yish arziydi: bekor qilishni qayd eting, ro’yxatni yaratib imzolang, aynan o’sha faylni tarqating va xizmat hisobi uni o’qiy olishini tasdiqlang. Har bir bo’g’in qisqa, va har qanday yetishmayotgan bo’g’in bekor qilingan mijozni xursandchilik bilan ulanib yurishga qoldiradi. To’rt qatorli tekshiruv ro’yxati birorta qatori yo’q taxmindan yaxshiroq.