Twee toestelle, een OpenVPN-sertifikaat: die herverbindings-lus

’n Tonnel wat opkom en dan elke halfminuut herbegin, is gewoonlik nie ’n cipher- of MTU-probleem nie. Dit is een identiteit wat twee keer gebruik word. Die bediener sien ’n bekende common name, neem die nuwe sessie as die jongste een, en die ouer toestel ontdek dat dit vervang is. Van die kliënt se kant lyk dit soos ’n onaktiwiteit-tydsverloop en ’n herbegin, en daarom begin die ondersoek so dikwels op die verkeerde plek.

Begin by die herbegin-interval

Die interval is ’n leidraad voor enigiets anders. ’n Gelykmatige ritme wat by die ping-restart-venster pas, dui op ’n sessie wat vervang word eerder as ’n pad wat faal, want padfoute is selde so reëlmatig. Let op die presiese gaping tussen herbegins en die rede-reël in die kliëntlog. ’n Tydsverloop gevolg deur ’n herbegin vertel ’n ander verhaal as ’n mislukte handshake.

Kyk wanneer die herbegins begin het in verhouding tot ’n tweede toestel. ’n Nuwe skootrekenaar, ’n selfoon of ’n profiel wat na ’n spaar masjien gekopieer is, is die gewone snellers, en die tydsberekening pas gewoonlik by die dag waarop iemand dit opgestel het.

Skryf die interval en die rede neer. Albei is bewyse, en albei is goedkoop om te versamel.

Lees wat die bediener oor die tweede aanmelding gesê het

Op ’n bediener wat jy beheer, noem die log die common name en wys ’n tweede verbinding wat aankom. Sonder duplicate-cn vervang daardie aankoms die bestaande sessie vir dieselfde naam, en die boodskap sê dit gewoonlik reguit. Met duplicate-cn bestaan albei sessies saam en die simptoom verander: die kliënte bly op maar deel een stel instellings per kliënt en een herroepingsbesluit. Lees die twee inskrywings saam, want die vervanging is net in volgorde sigbaar.

Op ’n gehoste diens het jy dalk glad geen bedienerlog nie. Die leidraad is dan tydsberekening: ’n stabiele tonnel wat val wanneer ’n ander masjien koppel, met niks in die kliëntlog behalwe die tydsverloop nie.

Vergelyk die sertifikaat- en sleutelblokke in albei profiele, nie net die remote-hostname nie. Gekopieerde profiele verskil gewoonlik net in die lêernaam.

Splits die identiteit aan die bedienerkant

Reik een sertifikaat per toestel uit deur die CA wat vir hierdie bediener onderteken. Met Easy-RSA beteken dit ’n aparte kliëntnaam vir elke toestel, en die profiel word dan uit daardie sertifikaat en sy sleutel gebou. Die common name word die toestel se identiteit, wat presies is wat die bediener kortgekom het. Noem hulle na die toestel eerder as na die persoon, sodat ’n vervanging ’n nuwe naam oplewer.

Die gedeelde beheerkanaalsleutel is ’n aparte ding. tls-crypt of tls-auth beskerm die beheerkanaal vir elke kliënt en is bedoel om gedeel te word. Dit is nie ’n kliëntidentiteit nie, en om dit te vervang sal nie ’n gedupliseerde sertifikaat regstel nie.

Hou die sertifikaat, die sleutel en enige konfigurasielêer per kliënt op dieselfde common name, anders breek die koppeling by die volgende verbinding. ’n Wanverhouding daar skep ’n kliënt wat verifieer en dan niks ontvang nie.

Hou adresse en instellings in lyn ná die splitsing

Vaste adresse skep ’n tweede manier om te bots. As die bediener hulle deur ifconfig-pool-persist of ’n lêer per kliënt toeken, wys daardie rekords nog steeds na die ou naam. Twee toestelle kan dieselfde tonneladres kry selfs nadat die sertifikate geskei is, en daardie fout lyk anders as die oorspronklike lus.

Dateer die koppeling op dieselfde tyd as die sertifikaat op, herverbind dan albei toestelle en vergelyk hulle toegewysde adresse. ’n Duplikaatadres wys as wisselvallige verlies eerder as ’n skoon herverbinding.

Stuur instellings wat per toestel moet verskil deur daardie toestel se eie lêer, nie deur ’n gedeelde sjabloon nie. ’n Gedeelde sjabloon maak ook die volgende duplikaat moeiliker om raak te sien.

Onttrek die ou identiteit behoorlik

Herroep die sertifikaat wanneer hardeware afgetree of vermis is, in plaas daarvan om die profiel van die ou masjien te verwyder. Herroeping lewer ’n nuwe CRL, en die bediener het daardie lêer nodig waar crl-verify wys. Met daardie opdrag in plek maak ’n ontbrekende of onleesbare CRL dat die bediener elke kliënt verwerp, so toets een bekende rekening ná elke opdatering.

Hou ’n inventaris wat elke sertifikaat aan ’n persoon of toestel koppel, met uitreikings- en herroepingsdatums. Daardie inventaris antwoord wie nog toegang het sonder om lêername te lees, en dit keer dat die volgende gekopieerde profiel die lus weer begin.