Tạm ngưng một máy khách OpenVPN mà không thu hồi chứng chỉ của nó

Khi một laptop phải nằm trên bàn sửa chữa một tuần, phản xạ thông thường là gỡ chứng chỉ của nó khỏi CA. Bản ghi đó là sổ của nhà phát hành, không phải công tắc truy cập tạm thời. OpenVPN đã có cơ chế theo từng máy khách để từ chối một kết nối, và dùng cơ chế đó giữ nguyên lịch sử của CA. Hai biện pháp kiểm soát trả lời những câu hỏi khác nhau, và trộn chúng với nhau tạo thêm việc khi thiết bị quay lại.

Hai bản ghi, hai nhiệm vụ khác nhau

Cơ sở dữ liệu của CA ghi lại những gì nhà phát hành đã ký và những gì sau đó đã thu hồi. Nó được các quy trình thu hồi và mọi thứ đọc CRL hoặc bản sao sổ của riêng nó truy vấn. Một quy tắc tiếp nhận sống trên máy chủ và áp dụng cho các kết nối mà máy chủ đó chấp nhận.

Xóa một bản ghi cấp phát không thu hồi chứng chỉ một cách đáng tin cậy, và nó làm hỏng lịch sử mà việc thu hồi hoặc kiểm toán sau này dựa vào. Kiểm soát phía máy chủ hẹp hơn và có thể đảo ngược. Ghi sự khác biệt vào ghi chú thay đổi để người tiếp theo không đi tìm một lần thu hồi chưa từng xảy ra.

Đặt chỉ thị vô hiệu hóa vào đúng tệp

Với máy chủ cộng đồng dùng cấu hình riêng cho từng máy khách, chỉ thị disable được ghi trong tài liệu sẽ từ chối một máy khách đã chọn. Nó thuộc về tệp của máy khách đó dưới client-config-dir đang hoạt động, không phải cấu hình chính của máy chủ. Xác nhận thư mục mà daemon đang chạy thực sự dùng, rồi xác nhận danh tính chọn tệp. Một tệp được đặt theo tên chung sai trông có vẻ đúng và không bao giờ được đọc.

disable

Các lựa chọn ánh xạ có ý nghĩa ở đây. Các tùy chọn như username-as-common-name thay đổi danh tính mà tra cứu sử dụng, nên một tệp đặt theo tên chủ thể của chứng chỉ có thể không phải là tệp được áp dụng. Đọc tài liệu tham chiếu OpenVPN cho phiên bản đã cài thay vì cho rằng chỉ thị hợp lệ trong mọi ngữ cảnh.

Tách việc tiếp nhận mới khỏi các phiên đang hoạt động

Từ chối lần bắt tay tiếp theo không kết thúc một đường hầm đã dựng. Nếu thiết bị phải ngắt ngay bây giờ, hãy dùng cả đường quản lý phiên được ủy quyền của máy chủ cho đúng phiên đó. Nếu không, máy khách có thể tiếp tục hoạt động cho đến khi tự kết nối lại, và việc gập nắp laptop hay thoát khỏi máy khách là hành động phía máy khách không nói lên điều gì về máy chủ.

Xác minh cả hai kết quả: phiên đang hoạt động dừng khi bạn muốn, và lần bắt tay mới bị từ chối. Một cửa sổ máy khách đã đóng không chứng minh được gì về chính sách của máy chủ.

Nếu triển khai không có cách được hỗ trợ để kết thúc một phiên đang hoạt động, hãy ghi lại khoảng trống đó thay vì tự chế ra một cách. Một cổng bị chặn trên máy khách không giống với chính sách phía máy chủ.

Tạm ngưng và bị xâm phạm là hai sự kiện khác nhau

Một khóa bị mất hoặc bị đánh cắp là sự kiện thu hồi, và việc tạm ngưng truy cập cục bộ không thay thế được. Các máy chủ khác tin cùng CA sẽ không chia sẻ quy tắc riêng cho máy khách của máy chủ này. Hãy theo quy trình thu hồi và thay thế của nhà phát hành và giữ cơ sở dữ liệu CA làm bản ghi có thẩm quyền. Ngược lại, một lần tạm ngưng cần lý do được ghi lại và một bước khôi phục.

Khi truy cập được khôi phục, hãy gỡ hạn chế qua thành phần sở hữu nó và xác nhận một kết nối mới thành công. Ghi lại cả đường dẫn của dòng disable, vì một lần đồng bộ cấu hình sau này có thể âm thầm đặt lại nó. Giữ lần tạm ngưng, người sở hữu và ngày tháng trong ghi chú triển khai, để quản trị viên tiếp theo không gặp một dòng disable không giải thích sau nhiều tháng.