Dva uređaja, jedan OpenVPN sertifikat: petlja ponovnog povezivanja

Tunel koji se podigne i zatim restartuje svakih pola minute obično nije problem šifre ni MTU-a. To je jedan identitet koji se koristi dvaput. Server vidi poznato uobičajeno ime, prihvata novu sesiju kao najnoviju, a stariji uređaj otkrije da je zamijenjen. S klijentske strane to izgleda kao neaktivnost i restart, zato istraga tako često počinje na pogrešnom mjestu.

Pođite od intervala restarta

Interval je trag prije svega drugog. Ravnomjeran ritam koji se poklapa s prozorom ping-restart upućuje na zamijenjenu sesiju, a ne na neispravnu putanju, jer kvarovi putanje rijetko su tako pravilni. Zapišite tačan razmak između restarta i red s razlogom u klijentskom dnevniku. Istek vremena praćen restartom priča drugu priču od neuspjelog rukovanja.

Provjerite kada su restartovi počeli u odnosu na drugi uređaj. Novi laptop, telefon ili profil kopiran na rezervnu mašinu uobičajeni su okidači, a vrijeme se obično poklapa s danom kada ga je neko postavio.

Zapišite interval i razlog. Oboje je dokaz i oboje se jeftino prikuplja.

Pročitajte šta je server rekao o drugoj prijavi

Na serveru koji kontrolišete dnevnik navodi uobičajeno ime i pokazuje drugu vezu koja dolazi. Bez duplicate-cn ta veza zamjenjuje postojeću sesiju za isto ime, a poruka to obično kaže jasno. S duplicate-cn obje sesije postoje zajedno i simptom se mijenja: klijenti ostaju povezani, ali dijele jedan skup postavki po klijentu i jednu odluku o povlačenju. Čitajte dva unosa zajedno, jer je zamjena vidljiva samo u nizu.

Na hostovanoj usluzi možda nemate nikakav dnevnik servera. Tada je trag vrijeme: stabilan tunel koji pada kad god se poveže druga mašina, a u klijentskom dnevniku nema ničega osim isteka vremena.

Uporedite blokove sertifikata i ključa u oba profila, ne samo ime udaljenog hosta. Kopirani profili obično se razlikuju samo po imenu datoteke.

Razdvojite identitet na strani servera

Izdajte jedan sertifikat po uređaju preko CA koji potpisuje za ovaj server. S Easy-RSA to znači zasebno klijentsko ime za svaki uređaj, a profil se zatim gradi od tog sertifikata i njegovog ključa. Uobičajeno ime postaje identitet uređaja, što je upravo ono što je serveru nedostajalo. Imenujte ih po uređaju, a ne po osobi, da bi zamjena dala novo ime.

Dijeljeni ključ kontrolnog kanala je zasebna stvar. tls-crypt ili tls-auth štiti kontrolni kanal za svakog klijenta i namijenjen je dijeljenju. On nije klijentski identitet, i njegova zamjena neće popraviti dupli sertifikat.

Držite sertifikat, ključ i svaku konfiguracijsku datoteku po klijentu pod istim uobičajenim imenom, inače se mapiranje lomi pri sljedećoj vezi. Nesklad tamo stvara klijenta koji se autentificira i zatim ne prima ništa.

Održavajte adrese i postavke usklađenim nakon podjele

Fiksne adrese uvode drugi način sudara. Ako ih server dodjeljuje kroz ifconfig-pool-persist ili datoteku po klijentu, ti zapisi još pokazuju na staro ime. Dva uređaja mogu dobiti istu adresu tunela čak i nakon što su sertifikati razdvojeni, a taj kvar izgleda drugačije od izvorne petlje.

Ažurirajte mapiranje istovremeno sa sertifikatom, zatim ponovo povežite oba uređaja i uporedite dodijeljene adrese. Dupla adresa se pokazuje kao isprekidan gubitak, a ne kao čisto ponovno povezivanje.

Postavke koje se trebaju razlikovati po uređaju šaljite kroz vlastitu datoteku tog uređaja, ne kroz zajednički predložak. Zajednički predložak i sljedeći duplikat čini teže uočljivim.

Povucite stari identitet kako treba

Povucite sertifikat kada se hardver ukida ili izgubi, umjesto da brišete profil sa stare mašine. Povlačenje stvara novi CRL, a serveru treba ta datoteka na mjestu na koje pokazuje crl-verify. S tom direktivom na mjestu, nedostajući ili nečitljiv CRL tjera server da odbije svakog klijenta, zato testirajte jedan poznati račun nakon svakog ažuriranja.

Vodite inventar koji veže svaki sertifikat za osobu ili uređaj, s datumima izdavanja i povlačenja. Taj inventar odgovara ko još ima pristup bez čitanja imena datoteka i sprječava sljedeći kopirani profil da ponovo pokrene petlju.