Openvpn как отключить клиента от сервера?

Question

[sasha-ld]

Как принудительно разорвать соединение с клиентом и заблокировать вход, не отзывая сертификата?

Answer 1

[Дмитрий]

если других способов авторизации кроме сертификата не настроено, то только на firewall блокировать входящий с его айпишника.
отстрелить сессию очень просто если включен management interface
к примеру в конфиге такое
management localhost 7505
то на сервере можно делать так
telnet localhost 7505
kill username

Comments

[Дмитрий]

Еще придумал.
Если на сервере настроено использование client-config-dir , то можно для этого клиента сделать индивидуальный конфиг, который будет ему выдавать заведомо нерабочие сетевые настройки, чтото с роутом в черную дыру.

[sasha-ld]

Дмитрий, да можно еще в ccd/certname прописать disable, работает
echo 'disable' >/etc/openvpn/ccd/certname

Answer 2

[ky0]

Выдать ему статический айпишник и прибить его на фаерволле.

Answer 3

[Константин ™]

В конфиге openvpn-сервера прописываем
client-config-dir ccd
В папку ccd помещаем текстовый файл, имя которого должно совпадать с названием сертификата клиента, а в содержании файла должно быть
disable

Не знаю отключит ли openvpn-сервер клиента сразу же или нет, но повторно точно подключиться не даст.
После удаления файла из ccd клиент опять сможет подключиться.

Comments

[sasha-ld]

А где можно посмотреть список всех клиентов?

[Константин ™]

sasha-ld, список всех подключенных в данный момент клиентов можно взять из status-лога. Путь и имя файла указывается в конфиге сервера openvpn в опции статус.
Например, status /etc/openvpn/openvpn-status.log

Тогда увидим всех подключенных клиентов, сделав cat /etc/openvpn/openvpn-status.log

[sasha-ld]

Константин ™, Да это я знаю, а где находится список всех выпущенных сертификатов?

[Константин ™]

sasha-ld, /etc/easy-rsa/keys/index.txt
Это я про Debian, в другом дистрибутиве может быть иной путь к easy-rsa.

В поле CN находится имя сертификата.

[Владимир Юрченков]

Константин ™ скажите пожалуйста
- где именно нужно создать каталог ccd?
- файл в этой папке создавать без расширения с содержимым disable?

[Константин ™]

Владимир Юрченков, каталог ccd создаём в /etc/openvpn. Должно получиться /etc/openvpn/ccd/
Не забудьте прописать client-config-dir ccd в конфиге.

А дальше вы всё верно написали: создаём файл по имени сертификата без расширения с содержимым disable

[Владимир Юрченков]

Константин ™, спасибо, попробую.
Службу нужно перезапустить после правки конфига?

[Константин ™]

Владимир Юрченков, да, после правки конфига нужно перезапускать службу.