İki cihaz, bir OpenVPN sertifikatı: yenidən qoşulma dövrəsi

Yarım dəqiqədən bir qalxıb yenidən başlayan tunel adətən şifrə və ya MTU problemi deyil. Bu, tək şəxsiyyətin iki dəfə istifadə edilməsidir. Server tanış ümumi adı görür, yeni sessiyanı ən son sessiya kimi qəbul edir və köhnə cihaz yerinin dəyişdirildiyini kəşf edir. Müştəri tərəfdən bu, fəaliyyətsizlik fasiləsi və yenidən başlama kimi görünür; buna görə araşdırma çox vaxt yanlış yerdən başlayır.

Yenidən başlama intervalından başlayın

İnterval hər şeydən əvvəl bir ipucudur. ping-restart pəncərəsinə uyğun sabit ritm uğursuz yol deyil, dəyişdirilən sessiyaya işarə edir, çünki yol nasazlıqları nadir hallarda bu qədər müntəzəm olur. Yenidən başlamalar arasındakı dəqiq fasiləni və müştəri jurnalındakı səbəb sətrini qeyd edin. Fasilədən sonra gələn yenidən başlama uğursuz əl sıxışmadan fərqli bir hekayə danışır.

Yenidən başlamaların ikinci cihaza nisbətən nə vaxt başladığını yoxlayın. Yeni noutbuk, telefon və ya ehtiyat maşına köçürülmüş profil adi səbəblərdir və vaxt adətən kiminsə onu qurduğu günə düşür.

İntervalı və səbəbi yazın. İkisi də sübutdur və ikisini də toplamaq ucuzdur.

Serverin ikinci giriş haqqında nə dediyini oxuyun

Nəzarət etdiyiniz serverdə jurnal ümumi adı göstərir və ikinci bağlantının gəldiyini göstərir. duplicate-cn olmadan bu gəliş eyni ad üçün mövcud sessiyanı əvəz edir və mesaj bunu adətən açıq deyir. duplicate-cn ilə hər iki sessiya birgə mövcud olur və simptom dəyişir: müştərilər açıq qalır, lakin hər müştəri üçün tək parametr dəsti və tək ləğvetmə qərarı paylaşırlar. İki qeydi birlikdə oxuyun, çünki əvəzlənmə yalnız ardıcıllıqda görünür.

Hostinq xidmətində server jurnalı heç olmaya bilər. Onda ipucu vaxtdır: başqa maşın qoşulanda düşən sabit tunel və müştəri jurnalında fasilədən başqa heç nə.

Hər iki profildə sertifikat və açar bloklarını müqayisə edin, yalnız uzaq host adını deyil. Köçürülmüş profillər adətən yalnız fayl adı ilə fərqlənir.

Şəxsiyyəti server tərəfində ayırın

Bu server üçün imza verən CA vasitəsilə hər cihaz üçün bir sertifikat verin. Easy-RSA ilə bu, hər cihaz üçün ayrı müştəri adı deməkdir və profil sonra həmin sertifikatdan və onun açarından qurulur. Ümumi ad cihazın şəxsiyyətinə çevrilir və bu, serverin çatışmayan hissəsi idi. Onları şəxsin deyil, cihazın adı ilə adlandırın ki, dəyişdirmə yeni ad yaratsın.

Paylaşılan idarəetmə kanalı açarı ayrı şeydir. tls-crypt və ya tls-auth hər müştəri üçün idarəetmə kanalını qoruyur və paylaşılması nəzərdə tutulur. O, müştəri şəxsiyyəti deyil və onu dəyişmək təkrarlanmış sertifikatı düzəltməyəcək.

Sertifikatı, açarı və hər hansı müştəri-üzrə konfiqurasiya faylını eyni ümumi adla saxlayın, əks halda növbəti bağlantıda uyğunluq pozulur. Orada uyğunsuzluq autentifikasiyadan keçib sonra heç nə almayan müştəri yaradır.

Ayırmadan sonra ünvanları və parametrləri uyğun saxlayın

Sabit ünvanlar toqquşmanın ikinci yolunu yaradır. Server onları ifconfig-pool-persist və ya müştəri-üzrə fayl vasitəsilə təyin edirsə, həmin qeydlər hələ də köhnə ada işarə edir. Sertifikatlar ayrıldıqdan sonra da iki cihaz eyni tunel ünvanına düşə bilər və bu nasazlıq ilkin dövrədən fərqli görünür.

Uyğunluğu sertifikatla eyni vaxtda yeniləyin, sonra hər iki cihazı yenidən qoşun və onlara verilən ünvanları müqayisə edin. Təkrarlanan ünvan təmiz yenidən qoşulma kimi deyil, fasiləli itki kimi görünür.

Hər cihaz üçün fərqli olmalı parametrləri həmin cihazın öz faylı ilə göndərin, ortaq şablonla deyil. Ortaq şablon növbəti təkrarı görməyi də çətinləşdirir.

Köhnə şəxsiyyəti düzgün təqaüdə çıxarın

Avadanlıq istifadədən çıxanda və ya itəndə profili köhnə maşından silmək əvəzinə sertifikatı ləğv edin. Ləğvetmə yeni CRL yaradır və serverə o fayl crl-verify istiqamətində lazımdır. Həmin direktiv yerində olduqda, itmiş və ya oxunmayan CRL serverin hər müştərini rədd etməsinə səbəb olur, ona görə hər yeniləmədən sonra bir tanınmış hesabı sınayın.

Hər sertifikatı şəxsə və ya cihaza bağlayan, verilmə və ləğvetmə tarixləri olan inventar saxlayın. Bu inventar fayl adlarını oxumadan kimin hələ girişi olduğunu cavablandırır və növbəti köçürülmüş profilin dövrəni yenidən başlatmasının qarşısını alır.