Bekor qilingan VPN sertifikati hali ham ulanadimi? CRL ijrosini tekshiring

Sertifikatni bekor qildingiz, yangi ro'yxat yaratdingiz va eski profil hali ham tunnel ko'taradi. Bekor qilishning o'zi buzilmagan: CRL seriya raqami endi haqiqiy emasligi haqidagi imzolangan bayonotdir va u TLSni tugatuvchi komponent uni to'g'ri emitent uchun, qabul qarori qabul qilinishidan oldin yuklagandagina kirishni o'zgartiradi. Bu holatlarning aksariyati aynan shu yerda va shuning uchun bekor qilish bilan rad etish ikki xil faktdir.

Quyidagi beshta tekshiruvdan tartib bilan o'ting va birinchi bajarilmaydigan joyda to'xtang, chunki har bir keyingi tekshiruv avvalgilar to'g'ri deb hisoblaydi.

Qabul qarorini qaysi komponent qabul qilishini tekshiring

Mijoz sertifikatini tekshiradigan jarayonni nomlang, chunki ro'yxatni faqat shu jarayon qo'llay oladi. OpenVPN serverida bu crl-verify bilan sozlangan demonning o'zi. ocservda bu ocserv.conf ichidagi crl satri. strongSwanda kirishlar yuklangan CRLlar va strictcrlpolicy birgalikda. VPN oldida TLSni tugatuvchi proksi yoki qurilma ham haqiqiy tekshiruvchi bo'lishi mumkin va agar shunday bo'lsa, uning orqasidagi demon mijoz sertifikatini hech qachon ko'rmaydi.

WireGuard boshqa toifaga kiradi. Unda sertifikatlar ham, bekor qilish ro'yxati ham yo'q; peer konfiguratsiyadagi ochiq kaliti bilan qabul qilinadi, shuning uchun kirishni to'xtatish o'sha kalitni olib tashlashni bildiradi. Agar faqat WireGuard ishlatiladigan o'rnatishda CRL qidirayotgan bo'lsangiz, bunday mexanizm u yerda yo'q.

Mijoz tomonidagi tuzoqqa ham e'tibor bering. Server sertifikati yoqmagani uchun ulanishdan bosh tortgan mijoz serverning zanjirini qo'llaydi, o'z mandatini bekor qilmaydi. Foydalanuvchi sertifikati faqat o'sha foydalanuvchi sertifikati tekshiriladigan joyda bekor qilinadi va bu deyarli har doim server tomoni.

Ro'yxat qaysi emitent uchun imzolanganini tekshiring

CRL bitta emitent CA bilan chegaralangan. Ildiz va oraliq CA bo'lsa, barg sertifikatlari oraliqdan keladi, shuning uchun muhim ro'yxat oraliq CAning CRLsidir; ildizning ro'yxati bu barglar haqida hech narsa demaydi. Noto'g'ri faylga yo'naltirilgan tekshiruvchi uni xursandchilik bilan tahlil qiladi, mos yozuv topmaydi va hamma narsani qabul qiladi.

Demonga tegishdan oldin juftlikni tasdiqlang. Sertifikatdagi emitent ro'yxatning subjectiga mos kelishi kerak:

openssl x509 -in client.crt -noout -issuer -serial
openssl crl  -in intermediate.crl -noout -issuer -lastupdate -nextupdate

Ikkalasi ham bir CA dan kelganda, sertifikat uchun chop etilgan seriya raqami ro'yxatda paydo bo'lishi kerak bo'lgan qiymatdir. Agar ular mos kelmasa, siz noto'g'ri CRL yoki uning noto'g'ri nusxasini ushlab turibsiz.

Amallilik ayni tekshiruvga tegishli. O'tmishdagi nextUpdate ro'yxatni eskirgan qiladi va yopiq tarzda muvaffaqiyatsizlikka uchraydigan tekshiruvchi o'shanda faqat bekor qilinganini emas, balki har bir mijozni rad etadi.

Seriya raqami demon yuklagan nusxada ekanini tekshiring

Bekor qilish CA ma'lumotlar bazasiga yozuv yozadi, qayta yaratish esa yangi fayl yozadi. Ikkala amal ham ishga tushishda eski nusxani yuklagan ishlab turgan demonga yetib bormaydi. Ro'yxatni chiqaring va seriya raqamini qidiring:

openssl crl -in intermediate.crl -noout -text | grep -i -A2 'Serial Number'
openssl ca -revoke client.crt
openssl ca -gencrl -out intermediate.crl

Keyin ilovangiz faylni qanday olishini tekshiring. OpenVPN crl-verify berilgan yo'lni ishga tushishda bir marta o'qiydi, shuning uchun yangi ro'yxat qayta ishga tushirish yoki qayta ishga tushirish signalini talab qiladi; katalogga yo'naltirilgan o'sha parametr har ulanishda qayta o'qiladi va katalog rejimi shuning uchun mavjud. strongSwan o'z mandatlarini qayta yuklashi kerak, masalan swanctl --load-creds bilan. Faylning diskda to'g'ri bo'lishi va tekshiruvchining undan foydalanishi ikki xil faktdir.

Yo'q yoki muddati o'tgan ro'yxat siyosatini tekshiring

Bu ko'plab o'rnatishlar hech qachon aniq qabul qilmaydigan qaror va u bekor qilish sizni himoya qiladimi yoki hammani tashqarida qulflaydimi, shuni belgilaydi. Fail-closed foydalanish mumkin bo'lgan bekor qilish ma'lumoti bo'lmasa rad etish yuz berishini bildiradi; fail-open tekshiruvchi usiz davom etishini bildiradi. strongSwan tanlovni strictcrlpolicy sifatida taqdim etadi. OpenVPN crl-verify bilan o'qiy yoki tahlil qila olmaydigan faylda ishga tushishdan bosh tortadi va muddati o'tgan ro'yxat jim qabul o'rniga muddati o'tgan CRL haqidagi TLS tekshiruv xatosi sifatida ko'rinadi.

Qaysi yo'nalishni tanlasangiz ham, avtomatlashtirish tanlovdan muhimroq: CRLni nextUpdate oldin qayta yaratadigan ish va joylashtirilgan nusxa eskirsa ogohlantirish ikkala siyosatning ham hodisaga aylanishiga yo'l qo'ymaydi. OCSP bilan onlayn tekshirish yangilikni javob beruvchiga ko'chiradi, ammo xuddi shu qoida amal qiladi, chunki javobni tekshirish uchun sozlanmagan tekshiruvchi hech narsani o'zgartirmaydi.

Faol sessiyani, keyin kalitning nusxalarini tekshiring

Bekor qilish sertifikat tekshiruvi vaqtida baholanadi, bu ulanish va qayta muzokara vaqtida sodir bo'ladi. O'rnatilgan sessiya qayta muzokara qilgunga qadar davom etadi va OpenVPNning standart qiymati reneg-sec 3600 bilan soatiga bir marta. Agar odam hozir tarmoqdan chiqishi kerak bo'lsa, ro'yxatni e'lon qilish bilan birga sessiyani to'xtating va keyin qayta ulanish rad etilishini tasdiqlang.

Mandatni uning nusxalaridan ajrating. Bitta noutbukda profilni o'chirish o'sha shaxsiy kalitning boshqa nusxasi autentifikatsiyalanishiga to'sqinlik qilmaydi; har bir nusxani foydasiz qiladigan narsa bekor qilishdir va bu faqat avvalgi tekshiruvlar bajarilganda amal qiladi. Zaxira qurilmaga o'z sertifikatini bering, shunda biri ikkinchisiga tegmasdan bekor qilinishi mumkin.

Buni tugagan deb atashdan oldin: tekshiruvchi komponent aniqlangan, ro'yxat emitenti barg emitentiga mos keladi, bekor qilingan seriya raqami demon haqiqatan yuklagan nusxada, yo'q yoki muddati o'tgan ro'yxatlar siyosati ataylab tanlangan va kuzatiladi, faol sessiya esa kutilish o'rniga to'xtatilgan. Bularning barchasi ortidagi formatlar RFC 5280 ichida ko'rsatilgan.