جهازان وشهادة OpenVPN واحدة: حلقة إعادة الاتصال

النفق الذي يصعد ثم يعيد التشغيل كل نصف دقيقة ليس عادة مشكلة في التشفير أو في وحدة MTU. إنها هوية واحدة تُستخدم مرتين. يرى الخادم اسمًا شائعًا مألوفًا، ويعتبر الجلسة الجديدة الأحدث، فيكتشف الجهاز الأقدم أنه استُبدل. من جهة العميل يبدو ذلك كمهلة خمول وإعادة تشغيل، ولهذا يبدأ التحقيق في المكان الخطأ غالبًا.

ابدأ من فاصل إعادة التشغيل

الفاصل مفتاح قبل أي شيء آخر. الإيقاع المنتظم الذي يطابق نافذة ping-restart يشير إلى جلسة تُستبدل بدلًا من مسار معطل، لأن أعطال المسار نادرًا ما تكون بهذا الانتظام. سجّل الفجوة الدقيقة بين إعادات التشغيل وسطر السبب في سجل العميل. انتهاء المهلة يعقبه إعادة تشغيل يروي قصة مختلفة عن مصافحة فاشلة.

تحقق من موعد بدء إعادات التشغيل بالنسبة لجهاز ثانٍ. الحاسوب المحمول الجديد أو الهاتف أو ملف تعريف منسوخ إلى جهاز احتياطي هي المحفزات المعتادة، والتوقيت يطابق عادة اليوم الذي أعده فيه أحدهم.

اكتب الفاصل والسبب. كلاهما دليل، وكلاهما رخيص الجمع.

اقرأ ما قاله الخادم عن تسجيل الدخول الثاني

على خادم تملكه، يذكر السجل الاسم الشائع ويُظهر اتصالًا ثانيًا يصل. بدون duplicate-cn يحل ذلك الوصول محل الجلسة القائمة للاسم نفسه، والرسالة تقول ذلك عادة بصراحة. مع duplicate-cn تتعايش الجلستان ويتغير العرض: يبقى العملاء متصلين لكنهم يتشاركون مجموعة واحدة من الإعدادات لكل عميل وقرار إبطال واحد. اقرأ المدخلين معًا، لأن الاستبدال لا يظهر إلا بالتسلسل.

على خدمة مُستضافة قد لا تملك سجل خادم على الإطلاق. الدليل هنا هو التوقيت: نفق مستقر ينقطع كلما اتصل جهاز آخر، ولا شيء في سجل العميل غير انتهاء المهلة.

قارن كتلتي الشهادة والمفتاح في ملفي التعريف، لا اسم المضيف البعيد فقط. الملفات المنسوخة تختلف عادة في اسم الملف فقط.

افصل الهوية من جهة الخادم

أصدر شهادة واحدة لكل جهاز عبر الجهة الموقعة التي تصدق على هذا الخادم. مع Easy-RSA يعني ذلك اسم عميل منفصل لكل جهاز، ثم يُبنى ملف التعريف من تلك الشهادة ومفتاحها. يصبح الاسم الشائع هو هوية الجهاز، وهو بالضبط ما كان ينقص الخادم. سمّها باسم الجهاز لا باسم الشخص، حتى يُنتج الاستبدال اسمًا جديدًا.

مفتاح قناة التحكم المشترك شيء منفصل. tls-crypt أو tls-auth يحمي قناة التحكم لكل عميل والمقصود أن يكون مشتركًا. إنه ليس هوية عميل، واستبداله لن يصلح شهادة مكررة.

أبقِ الشهادة والمفتاح وأي ملف إعداد لكل عميل بالاسم الشائع نفسه، وإلا انكسر التقابل عند الاتصال التالي. أي عدم تطابق هناك ينتج عميلًا يوثّق نفسه ثم لا يتلقى شيئًا.

أبقِ العناوين والإعدادات متوافقة بعد الفصل

العناوين الثابتة تقدم طريقًا ثانيًا للتصادم. إذا وزعها الخادم عبر ifconfig-pool-persist أو ملف لكل عميل، فسجلاته ما زالت تشير إلى الاسم القديم. قد ينتهي جهازان إلى عنوان نفق واحد حتى بعد فصل الشهادات، وهذا العطل يبدو مختلفًا عن الحلقة الأصلية.

حدّث التقابل في الوقت نفسه الذي تحدّث فيه الشهادة، ثم أعد توصيل الجهازين وقارن العناوين الممنوحة لهما. العنوان المكرر يظهر كفقد متقطع لا كإعادة اتصال نظيفة.

ادفع الإعدادات التي يجب أن تختلف لكل جهاز عبر ملف الجهاز نفسه، لا عبر قالب مشترك. القالب المشترك يجعل التكرار التالي أصعب في الاكتشاف.

أحِل الهوية القديمة إلى التقاعد كما يجب

أبطل الشهادة عند تقاعد العتاد أو فقده، بدلًا من حذف ملف التعريف من الجهاز القديم. الإبطال ينتج CRL جديدًا، والخادم يحتاج ذلك الملف حيث يشير crl-verify. مع وجود تلك التوجيهات، يجعل CRL المفقود أو غير المقروء الخادم يرفض كل عميل، فاختبر حسابًا معروفًا بعد كل تحديث.

احتفظ بجرد يربط كل شهادة بشخص أو جهاز، مع تواريخ الإصدار والإبطال. هذا الجرد يجيب عن من ما زال يملك الوصول دون قراءة أسماء الملفات، ويمنع ملف التعريف المنسوخ التالي من إعادة تشغيل الحلقة.