Как ограничить конфиг openvpn по времени?

Question

[ConterBox]

Допустим есть клиент, нужно чтобы он автоматически удалялся через например месяц.

Answer 1

[Дмитрий]

Если по сертификату - то ставишь срок действия один месяц и всё.

Comments

[AlexVWill]

да, это оптимальный вариант

Answer 2

[ConterBox]

Всем спасибо, написал скрипт на питухоне под свои задачи, отзывает конфиг по истечении срока.

Answer 3

[meDveD_spb]

Авторизация пользователей как происходит? локальная или auto-login?
Можно переключить аутентификацию по PAM/RADIUS/LDAP и учетки создавать со сроком истечения.

Answer 4

[rPman]

удалить файлы ключей сертификатов этого пользователя по крону
причем не просто по событию через месяц а раз в сутки запускать свой скрипт, который будет проверять наличие пользователя, например дату его создания по файлам или в имени дату кодировать и удалять старее определенного

Comments

[ConterBox]

Думал над этим, не проблема сделать просто мб есть какой либо вариант от openvpn чтобы ограничить время одной сессии

[rPman]

судя по всему нет, там только настройки максимальной длины сессии

[Drno]

ConterBox, а при чем тут сессия и необходимость закрыть доступ клиенту?)

[AlexVWill]

удалить файлы ключей сертификатов этого пользователя по крону

вы об чем? эти файлы хранятся на машине клиента...

[AlexVWill]

ConterBox,

Думал над этим, не проблема сделать просто мб есть какой либо вариант от openvpn чтобы ограничить время одной сессии

этот вариант не рабочий, там выше правильно написали, надо просто сертификат клиента при создании по сроку ограничить...
есть еще вариант с отзывом действующих сертификатов, но он посложнее

[rPman]

AlexVWill, на сервере они тоже есть, так работает ассимитричное шифрование, есть пара ключей публичный и приватный, приватные на сервере, публичные клиенту (на самом деле между ними нет разницы, они равнозначны, приватность определяется тем какой ключ кому известен)

[AlexVWill]

rPman, скажи честно, настраивать OpenVPN хоть раз приходилось? ;) Тогда должен знать все про клиентские ключи и сертификаты.
На сервере они МОГУТ БЫТЬ, хотя и не должны, они никак в конфиге OpenVPN не задействованы, и они ващет на сервере сертификации должны быть, который может быть вообще другой физически машиной. Они подписываются сертификатом сервера, и сервер, видя ключ клиента, подписанный его сертификатом по умолчанию ему доверяет. Этим самым достигается то, что серверу не надо хранить сертификаты пользователей, достаточно на сервере иметь пару сертификат сервера и ключ сервера для проверки пользовательских сертификатов.

[rPman]

конечно настраивал
все зависит от способа авторизации, ьам есть по логину паролю а есть по ключу, если у тебя один ключ на всех пользователей то да

кстати в режиме парольной авторизации по уму длостаточно отредактировать файл с паролями, при следующей сессии убранный пользователь залогиниться не сможет

[AlexVWill]

rPman,

все зависит от способа авторизации, ьам есть по логину паролю а есть по ключу

Можешь дать ссылку на настройку сервера тем путем, о котором пишешь ты? Мне такие опции в конфиге OpenVPN неизвестны, интересно было бы почитать... И при чем тут логин-пароль, мы об этом вообще не говорили... речь шла только об авторизации по ключам и сертификатам.

если у тебя один ключ на всех пользователей то да

Ты про какой ключ?

[rPman]

client sertificate and private key

[AlexVWill]

rPman,

client sertificate and private key

еще раз - открытые клиентские ключи и сетрификаты не должны быть одинаковыми для всех, они для всех клиентов разные, они НЕ хранятся на сервере VPN, они вообще на серверах не хранятся, они генерируются сервером сертификации, подписываются ключом сервера и передаются клиентам.
Сервер, видя открытый клиентский ключ, подписанный сертификатом этого сервера ему доверяет и подключает клиента.
Все.
Если есть какие то способы работы, когда сервер хранит и проверяет открытые ключи пользователя минуя механизм, что я выше описал - дайте ссылку, я прочитаю.

[shurshur]

rPman, ошибка в том, что сервер не может управлять сертификатами. Но у него есть crl, вот в него их можно вносить для отзыва. Но проще уж тогда просто выдавать сертификаты на ограниченный срок.

[meDveD_spb]

AlexVWill,
Сервер может применять определенные для клиента права доступа на основе встроенных полей сертификата, таких как общее имя, в том числе и просто запрещать доступ, без отзыва сертификата.

[rPman]

Конечно можно по всякому, у меня (личный все на несколько человек а точнее мест) центр сертификации размещался на той же машине и по факту это просто файлы

[AlexVWill]

meDveD_spb,

в том числе и просто запрещать доступ, без отзыва сертификата.

Приведите ссылку, плиз, на работающий метод, а то не совсем понял, что вы имеете ввиду.

[AlexVWill]

rPman,

центр сертификации размещался на той же машине и по факту это просто файлы

Тут неважно, где расположен ЦС, и в любом случае это просто файлы. Важно то, как именно OpenVPN понимает подлинность клиентских ключей доступа, а как вы их получали и где - это дело десятое. Если ключ подписан правильным сертификатом сервера - он будет принят.
Есть более другие сервера VPN. Тот же IPSec/IKE2 к примеру, там можно настроить по логину-паролю+сертификат, вот там все просто - убрал логин и пароль из конфига, ребутнул vpn - все, у клиента доступа нет.