《Linux系统安全：纵深防御、安全扫描与入侵检测 》 —3.6　回收OpenVPN客户端的证书

3.6　回收OpenVPN客户端的证书

如果我们分发给客户端的证书不慎被窃取了，或者相关员工离职了，那么我们必须确认它不能继续通过OpenVPN接入我们的虚拟专用网络。在此情况下，我们以收回vpnclient2的证书为例，需要使用如下的命令：

. ./vars

./revoke-full vpnclient2

这样会在keys目录下产生一个文件crl.pem。我们把它复制到/etc/openvpn目录下。然后在server.conf中加入下面一行：

crl-verify crl.pem

这样，每次建立虚拟专用网络连接前，OpenVPN服务器会查看crl.pem，来确定客户端的证书是否在收回的列表里面。如果匹配到，则禁止客户端进行连接。