|
OpenVPN i blokada/usunięcie użytkownika.
|
| majcin |
Dodano 05-02-2014 22:35
|
User
Posty: 13
Dołączył: 22/03/2010 18:57
|
Witam,
Serwer openvpn działa. Certyfikaty wygenerowane dla 10 userów. Jednakże z pewnych przyczyn muszę jednemu użytkownikowi usunąć dostęp. Można to jakoś szybko zrobić czy muszę wszystko generwoać od początku?
pozdrawiam,
majcin |
| |
|
|
| shibby |
Dodano 06-02-2014 06:02
|
SysOp
Posty: 17151
Dołączył: 15/01/2009 20:30
|
najprościej w tym przypadku skorzystać z opcji uwierzytelniania po loginie i haśle. Chcesz komuś zablokować dostęp to usuwasz jego konto z listyi ważny certyfikat na nic mu się nie zda
Router: Unifi Cloud Gateway Max
Switch: Unifi USW-Lite-16-PoE
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 4x 2TB SSD
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| hermes-80 |
Dodano 12-02-2014 14:07
|
VIP
Posty: 3681
Dołączył: 21/04/2009 11:24
|
Cytat Dodatek: Odwoływanie certyfikatów
W dalszej perspektywie zazwyczaj okazuje się, że będzie potrzebne odwołanie jednego z certyfikatów. Może się tak zdarzyć przy zagubieniu lub kradzieży sprzętu, a także wtedy kiedy dana osoba nie potrzebuje już dostępu do tunelu VPN. Odwołany certyfikat (a razem z nim i klucz) tracą ważność i od tego momentu nie mogą być wykorzystywane do autoryzacji.
Wykorzystujemy do tego polecenie revoke-full podając jako parametr nazwę certyfikatu, który chcemy odwołać. Przed jego wywołaniem oczywiście uruchamiamy source vars, aby wczytać parametry konfiguracyjne.
easyrsa-revoke
Od tego momentu w pliku /etc/mojeCA/keys/crl.pem znajduje się lista odwołanych certyfikatów. Musimy o niej jeszcze poinformować serwer OpenVPN, a robimy to dodając poniższą linię do konfiguracji:
crl-verify crl.pem
Po jego dodaniu konieczny będzie restart demona OpenVPN. Od tego momentu przy każdym połączeniu będzie sprawdzana obecność certyfikatu klienta w pliku crl.pem i jeśli się tam znajdzie, połączenie zostanie odrzucone, nawet jeśli wciąż istnieje plik konfiguracyjny dla danego klienta. Co ważne przy odwoływaniu następnych certyfikatów nie będzie już konieczny restart demona, będzie on samoczynnie odczytywał nową wersję pliku crl.pem.
http://sekurak.pl/praktyczna-implemen...e-openvpn/
===============================================================
Netgear WNR3500L v1
Podziękowania dla administracji Openlinksys.info!
|
| |
|
|
| shibby |
Dodano 12-02-2014 16:22
|
SysOp
Posty: 17151
Dołączył: 15/01/2009 20:30
|
Hermes - zgadza się ale nie na tomato ... Potrzebne by do tego było utrzymywanie kompletnego pliku crl.pem na routerze, tak by daemon ovpn miał do niego stały dostęp. Narzędzi do revoke też nie ma.
Router: Unifi Cloud Gateway Max
Switch: Unifi USW-Lite-16-PoE
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 4x 2TB SSD
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| hermes-80 |
Dodano 12-02-2014 16:30
|
VIP
Posty: 3681
Dołączył: 21/04/2009 11:24
|
Cytat Narzędzi do revoke też nie ma.
Połączony z 12 luty 2014 16:57:01:
Myślałem, że można dodać w custom config.
Edytowany przez hermes-80 dnia 12-02-2014 16:57
===============================================================
Netgear WNR3500L v1
Podziękowania dla administracji Openlinksys.info!
|
| |
|
|
| ml |
Dodano 12-02-2014 20:02
|
User
Posty: 21
Dołączył: 22/01/2012 23:09
|
Witam
Jest jeszcze na to inna rada - należy do konfiguracji openvpn dodać opcje:
--client-config-dir dir
--ccd-exclusive
Pierwsza opcja włączy obsługę konfiguracji per-użytkownik. Daemon openvpn będzie szukał w katalogu 'dir' konfiguracji dla danego klienta (rozpoznawanego na podstawie pola common name w certyfikacie).
Druga opcja powoduje, że dostęp będzie przyznany jedynie klientom, dla których istnieje taka konfiguracja.
Na starcie należy więc dla tych 10 klientów założyć puste pliki w katalogu 'dir'. Jeżeli trzeba komuś usunąć dostęp, to wystarczy usunąć jego plik z tego katalogu.
Pozdrawiam
ml |
| |
|
|
| lazik |
Dodano 13-02-2014 08:25
|
Power User
Posty: 356
Dołączył: 09/12/2011 13:09
|
I własnie m.in z tego powodu dd-wrt jest lepsze. Tak samo wersja AC i radio 5GHz działa na dd-wrt znacznie lepiej/stabilniej niż to co jest pod tomato. To samo z routingiem ipv6, gdzie pod tomato jest on skopany (potwierdzone wielokrotnie na zagranicznych forach) to w dd-wrt działa jak należy. Sorry, ale taka jest prawda. |
| |
|
' target='_blank'>Link
