OpenVPN kulcs tiltása

Linux-haladó

Sziasztok,

Van egy OpenVPN szolgáltatásunk, amit használ X ember saját kulcs-al (key,crt,csr,ca). Le kellene tiltanom 2 felhasználót, hogy ne tudjanak csatlakozni. Amit találtam az a crl-verify crl.pem opció.1 felhasználóra működik is.Hogy lehetne több felhasználót ilyen módszerrel letiltani ?

Köszi

  • 2504 megtekintés

Minden kitiltott common-name felhasználónak csinálsz egy "revoke-full common-name"-t
Ez egy crl.pem-et dagaszt minden meghívás után.

Ha jól emlékszem nem lesz külön crl.pem mindenkire, az eléggé gáz lenne.
Nálam eddig 2 kulcs van így fekete listára téve, de csak egy crl.pem van.

Arra viszont figyelni kell, hogy az openvpn által olvashatónak kell lennie a crl.pem-nek, különben nem fog menni.

Állítólag a kitiltott common-name-hez újra lehet generálni cert-et (másik pem-je lesz neki asszem),
mivel a cert-et veszi tiltólistára, nem magát a common-name-t és kulcsát.
---------------------------------------------------
Talisker Single Malt Scotch Whisky aged 10 years :)

Most lehet, hogy butaságot kérdezek, de ha nincs meg nálam a kulcs (legeneráltam, odaadtam, nem tartottam meg), akkor hogyan megy ez?

A common-name-et ismerem, tehát talán ki tudom adni a revoke-full parancsot, de honnan fogja az a certet tiltólistára tenni?

Vagy nálam kell legyen a kiadott kulcs egy példánya?

G

Elvileg azon a gépen, ahol generáltad a kulcsot, kell, hogy legyen a keys directoryban mindenféle .pem állomány. Minden kulcs generálásakor létrejön egy ilyen: 01.pem, 02.pem ...
Szerintem ennek segítségével tudja összerakni a crl.pem-et. Mivel a legenerált .key, .crt állományok nem szükségszerűen kell meglegyenek a szerveren generálás után.

Bár meg kell mondjam, hogy a PKI-kkel kapcsolatban nem vagyok egy szakértő, pusztán használom az OpenVPN-t, és nekem a fentebbiek alapján megy a revoke dolog.

Azt lehet, hogy érdemes lenne kipróbálni, hogy magát a VPN szervert egy másik vason felélesíteni, mint amin a kulcsokat generálgatod. A generálós masinán visszavonsz egy cert-et, ott frissül a crl.pem, amit át kell tolni a VPN szervert futtató vasra. Elvileg ezek alapján mindenféle egyéb .pem, meg .crt állományok nélkül is mennie kéne a dolognak (mármint a visszavont cert-es kliens blokkolásának) szerintem. Lévén a crl.pem minden infót tartalmaz, amire szükség van az ellenőrzéshez.

Ha a kulcs generálós masinán törölted esetleg kézzel ezeket a 01.pem ... stb .pem-eket, akkor lehet, hogy szivacs van. Elvileg kell ott legyen egy index.txt meg egy serial nevű állomány is. Ez a kulcskatalógus, meg, hogy milyen állapotban vannak a kulcsok, a serial meg a következő kiadandó indexet tartalmazza. Szóval ha ezekbe belematat az ember, akkor könnyen szopóág lehet belőle.

Ezzel kapcsolatban annyit mertem eddig elkövetni, hogy egy szkript által szarul legenerált kulcs hegyet kézzel töröltem (ehhez kapcsoltan a .pem-eket, index.txt végéről kigyilkoltam az ezekre vonatkozó a bejegyzéseket, meg frissítettem a serial-t). Ezek után már a jól működő szkript ugyanolyan ID-kre generált kulcsokat és nem lett tele szeméttel a PKI-m.

A Bagoly meg megy ... ;)
---------------------------------------------------
Talisker Single Malt Scotch Whisky aged 10 years :)

Na nekem ez egyébként úgy van, hogy van egy gép, amin van a szerver (illetve kettő, de ez részletkérdés).
És egy laptopon generáltam az összes kulcsot, az emberek megkapták a sajátjukat, a szerver a szerverét.

Aztán egyszer a laptop elpusztult. Nem lehetetlen, hogy valahol van mentés ezekről a kulcsokról, de régen nem láttam őket.

Végül is mindegy, legrosszabb esetben készítek egy új root CA-t, azt teszem fel a szerverre, és mindenki kap új kulcsokat, a régiek meg az új CA-val nem működnek, és kész.

G

Csak ne felejtsd el menteni ...

Pár kulcsnál nem nagy kaland, ha újakra kell cserélni. 10-20-nál már szopó végigballagni és újra konfigurálni az r=1 júzerek csodamasináit. :)
---------------------------------------------------
Talisker Single Malt Scotch Whisky aged 10 years :)

( pappe v | 2010. 09. 30., cs – 13:27 )

Ok. Tegyük fel, hogy van egy felhasználóm, akinek a hozzáférése így módon korábban megszűnt, nyomtam neki egy "revoke-full user"-t.
Nos mi van akkor, ha újra engedélyezni szeretném a hozzáférését? Van rá módszer, vagy újat kell generálnom neki?