Дзве прылады і адзін сертыфікат OpenVPN: цыкл перападключэння

Тунэль, які ўзнімаецца і потым перазапускаецца кожныя паўхвіліны, звычайна не з'яўляецца праблемай шыфра або MTU. Гэта адна асоба, выкарыстаная двойчы. Сервер бачыць знаёмае агульнае імя, прымае новую сесію як апошнюю, і старая прылада выяўляе, што яе замянілі. З боку кліента гэта выглядае як тайм-аўт бяздзейнасці і перазапуск, таму расследаванне так часта пачынаецца не там.

Пачніце з інтэрвалу перазапуску

Інтэрвал — гэта падказка перш за ўсё. Роўны рытм, які супадае з акном ping-restart, паказвае на замену сесіі, а не на збой шляху, бо збоі шляху рэдка бываюць такімі рэгулярнымі. Запішыце дакладны прамежак паміж перазапускамі і радок прычыны ў кліенцкім журнале. Тайм-аўт з наступным перазапускам расказвае іншую гісторыю, чым няўдалае рукапацісканне.

Праверце, калі пачаліся перазапускі адносна другой прылады. Новы ноўтбук, тэлефон або профіль, скапіяваны на запасную машыну, — звычайныя трыгеры, і час звычайна супадае з днём, калі хтосьці яго наладзіў.

Запішыце інтэрвал і прычыну. Абодва — доказы, і абодва танна сабраць.

Прачытайце, што сервер сказаў пра другі ўваход

На серверы, які вы кантралюеце, журнал называе агульнае імя і паказвае другое злучэнне. Без duplicate-cn гэтае злучэнне замяняе існуючую сесію для таго ж імя, і паведамленне звычайна кажа пра гэта прама. З duplicate-cn абедзве сесіі суіснуюць, і сімптом змяняецца: кліенты застаюцца ўключанымі, але дзеляць адзін набор налад на кліента і адно рашэнне аб адкліканні. Чытайце два запісы разам, бо замена бачная толькі ў паслядоўнасці.

На гатовай паслузе ў вас можа не быць сервернага журнала наогул. Тады падказка — час: стабільны тунэль, які абрываецца кожны раз, калі падключаецца іншая машына, і нічога ў кліенцкім журнале, акрамя тайм-аўту.

Параўнайце блокі сертыфіката і ключа ў абодвух профілях, а не толькі імя аддаленага хаста. Скапіяваныя профілі звычайна адрозніваюцца толькі назвай файла.

Падзяліце асобу на баку сервера

Выдайце адзін сертыфікат на кожную прыладу праз CA, які падпісвае для гэтага сервера. З Easy-RSA гэта асобнае кліенцкае імя для кожнай прылады, і профіль будуецца з гэтага сертыфіката і яго ключа. Агульнае імя становіцца асобай прылады — менавіта гэтага серверу не хапала. Называйце іх па прыладзе, а не па чалавеку, каб замена давала новае імя.

Агульны ключ кантрольнага канала — гэта асобная рэч. tls-crypt або tls-auth абараняе кантрольны канал для кожнага кліента і прызначаны для агульнага выкарыстання. Гэта не асоба кліента, і яго замена не выправіць дублікаваны сертыфікат.

Трымайце сертыфікат, ключ і любы файл канфігурацыі кліента пад адным і тым жа агульным імем, інакш сувязь парушыцца пры наступным злучэнні. Няўзгодненасць там стварае кліента, які праходзіць аўтэнтыфікацыю і потым нічога не атрымлівае.

Захоўвайце адрасы і налады ўзгодненымі пасля падзелу

Фіксаваныя адрасы даюць другі шлях да сутыкнення. Калі сервер прызначае іх праз ifconfig-pool-persist або файл на кліента, гэтыя запісы ўсё яшчэ ўказваюць на старое імя. Дзве прылады могуць атрымаць адзін адрас тунэля нават пасля раздзялення сертыфікатаў, і такі збой выглядае інакш, чым зыходны цыкл.

Абнавіце адпаведнасць адначасова з сертыфікатам, потым перападключыце абедзве прылады і параўнайце прызначаныя ім адрасы. Дублікат адраса паказваецца як перарывістыя страты, а не як чыстае перападключэнне.

Перадавайце налады, якія павінны адрознівацца для кожнай прылады, праз уласны файл гэтай прылады, а не праз агульны шаблон. Агульны шаблон таксама робіць наступны дублікат цяжэйшым для выяўлення.

Належна спыніце выкарыстанне старой асобы

Адклічце сертыфікат, калі абсталяванне спісана або страчана, замест таго каб выдаляць профіль са старой машыны. Адкліканне стварае новы CRL, і серверу патрэбны гэты файл там, куды ўказвае crl-verify. Калі гэтая дырэктыва ўключана, адсутны або нечытальны CRL прымушае сервер адхіляць кожнага кліента, таму праверце адзін вядомы акаўнт пасля кожнага абнаўлення.

Вядзіце інвентар, які звязвае кожны сертыфікат з чалавекам або прыладай, з датамі выдачы і адклікання. Гэты інвентар адказвае, у каго яшчэ ёсць доступ, не чытаючы імёны файлаў, і не дае наступнаму скапіяванаму профілю зноў пачаць цыкл.