OpenVPN. Отзыв сертификата

[raMZES]

Добрый день.

Подскажите, как реализуется отзыв сертификата? Что необходимо сделать, чтобы клиент больше не смог подключиться?

[r13]

Тут вроде все расписано,

https://openvpn.net/community-resources/revoking-certificates/

Нужно сгенерить файл с отозванными сертификатами и сослаться на него из конфига сервера

[raMZES]

Да. Я читал это. Спасибо.

Но как это делать в конфигурации сервера Keenetic? В какую секцию записывать?  Нужно ли изменять секцию <ca>...</ca> после генерации сертификата отзыва?

[r13]

19 минут назад, raMZES сказал:

Да. Я читал это. Спасибо.

Но как это делать в конфигурации сервера Keenetic? В какую секцию записывать?  Нужно ли изменять секцию <ca>...</ca> после генерации сертификата отзыва?

С вашим устройством не применимо, файл с отзывами класть некуда

[keenet07]

37 минут назад, r13 сказал:

С вашим устройством не применимо, файл с отзывами класть некуда

А зачем его класть куда-то? Может быть его можно внутрь общего текстового конфига в виде какой-то секции запихать. Нужно изучать.

[r13]

22 минуты назад, keenet07 сказал:

А зачем его класть куда-то? Может быть его можно внутрь общего текстового конфига в виде какой-то секции запихать. Нужно изучать.

Вряд-ли такое есть, вся фишка что файл анализируется на каждом переподключении и можно подкладывать отзывы в реальном времени без перезапуска сервера. Но если найдете то ок. 

[Кинетиковод]

Если есть доступ к клиентам, то можно tls ключ у всех поменять.

[keenet07]

Вот это разве не оно?

<crl-verify>
-----BEGIN X509 CRL-----
...   <--сюда вставить тело ключа из файла crl.rsa.2048.pem
-----END X509 CRL-----
</crl-verify>

Опция crl-verify включает чёрный список отозванных сертификатов и указывает файл, из которого этот список нужно читать.

crl.pem

Список отзыва сертификатов CRL

 

 

Изменено 11 декабря, 2019 пользователем keenet07

[raMZES]

Вот. Скорее всего оно (Certificate Revocation List).

Спасибо за наводку. Буду тестировать.

[raMZES]

55 минут назад, Кинетиковод сказал:

Если есть доступ к клиентам, то можно tls ключ у всех поменять.

Клиенты - мои знакомые. Они подключаются к моему маршрутизатору для обхода заблокированных сайтов (ок.ru, vk.com и т.д.) в Украине.

Изменено 11 декабря, 2019 пользователем raMZES