Mae duplicate-cn yn rhoi'r un hunaniaeth i ddwy ddyfais, nid dwy

Copïwch y proffil i'r tabled, cysylltwch, ac mae'r gliniadur yn cwympo allan. Ychwanegwch duplicate-cn, mae'r ddau yn aros yn gysylltiedig, ac mae'r broblem yn edrych yn datrys tan i'r ddwy ddyfais ymladd dros yr un cyfeiriad tiwnel neu i dabled golledig fynd â'r cyfrif cyfan all-lein. Mae'r opsiwn yn newid un peth ac un peth yn unig: a yw'r gweinydd yn caniatáu ail sesiwn o dan enw y mae eisoes wedi'i weld. Mae popeth y mae pobl yn disgwyl iddo ei drwsio, o annibyniaeth dyfeisiau i gyfeiriannu fesul dyfais i ddadfachu detholus, yn dal i gael ei wneud gan hunaniaeth, a hunaniaeth yma yw'r dystysgrif.

Y myth: mae ail sesiwn yn ail hunaniaeth

Y reddf yw bod yn rhaid i ddau gysylltiad fod yn ddau gleient, ac y dylai dau gleient fod yn ddwy ddyfais â'u hawliau eu hunain. Nid yw'r gweinydd yn modelu hynny felly. Mae'n gweld enw cyffredin, a chyda duplicate-cn wedi'i alluogi mae'n derbyn mwy nag un sesiwn fyw sy'n cario'r enw hwnnw, a phob un yn cael ei chyflwr sesiwn ei hun yn y daemon.

Nid oes dim yn y derbyniad hwnnw'n cyffwrdd â dilysu tystysgrifau. Yr un dystysgrif yw'r cymhwyster o hyd, yr un allwedd yw'r allwedd breifat o hyd, ac mae unrhyw bolisi sy'n seiliedig ar destun y dystysgrif yn dal i ddatrys i'r un gwerth ddwywaith. Ail soced yw ail sesiwn, nid ail hunaniaeth.

Mae'r gwahaniaeth hwnnw'n anweledig tra bo popeth yn gweithio. Mae'n dod yn amlwg iawn y foment y bydd angen i chi wahaniaethu rhwng y ddwy ddyfais, sef fel arfer y diwrnod y caiff un ohonynt ei cholli.

Beth sy'n newid mewn gwirionedd pan fydd dwy sesiwn yn rhannu un enw

Heb yr opsiwn, mae cysylltiad newydd o dan enw cyffredin sydd eisoes yn gysylltiedig yn dadleoli'r sesiwn gynharach. Dyna pam mae'r gliniadur yn cwympo pan fydd y tabled yn cysylltu, a gwarant bwriadol yn erbyn amwysedd yw hyn, nid nam. Gyda'r opsiwn, mae'r ddwy sesiwn yn aros yn fyw ac mae'r gweinydd yn eu holrhain ar wahân fesul sesiwn, nid fesul dyfais.

Mae pob sesiwn yn dal i gael ei chysylltiad allanol ei hun a'i hallweddi negydu ei hun, felly mae trwygediad cydamserol wir yn gydamserol. Yr hyn maen nhw'n ei rannu yw popeth sy'n deillio o'r cymhwyster: chwiliadau polisi, ffurfweddiad sy'n benodol i'r cleient, hunaniaeth mewn logiau a dadfachu. Mae cyflwr sesiwn yn perthyn i'r cysylltiad ac yn marw gydag ef, tra bod y ffeithiau ar lefel cymhwyster yn parhau ar draws y ddau. Dyna pam y gall allbwn statws restru'r un enw ddwywaith tra bod y cyfrifwyr yn aros ar wahân.

Cadarnhewch beth mae eich adeiladwaith yn ei wneud mewn gwirionedd cyn dylunio o'i gwmpas, oherwydd yr opsiwn ei hun sy'n diffinio effaith yr opsiwn, nid chwedlau:

grep -n 'duplicate-cn\|client-config-dir\|username-as-common-name' /etc/openvpn/server.conf

Y cyfeiriad statig roeddech chi'n meddwl eich bod wedi'i bennu

Mae ffurfweddiad fesul cleient yn cael ei chwilio yn ôl enw, a dyna'r fagl. Mae ffeil client-config-dir wedi'i henwi ar ôl yr enw cyffredin yn berthnasol i bob dyfais sy'n defnyddio'r enw hwnnw, felly mae ifconfig-push y tu mewn iddi yn rhoi'r un cyfeiriad tiwnel i'r ddwy ddyfais. Naill ai mae'r ail sesiwn yn methu sefydlu, neu mae'n gwrthdaro mewn ffordd sy'n edrych fel nam llwybro.

Mae cronfa ddeinamig yn ymddwyn yn well ar ddamwain, oherwydd bod pob sesiwn yn cael cyfeiriad o'r gronfa'n annibynnol. Nid yw hynny'n dal yn rhoi cyfeiriad sefydlog fesul dyfais i chi, ac yn sicr nid yw'n rhoi polisi fesul dyfais ynghlwm wrth y cyfeiriad hwnnw.

Os yw'r defnydd yn defnyddio username-as-common-name, yr allwedd chwilio yw'r enw defnyddiwr dilysiedig yn lle testun y dystysgrif, ac mae'r un gwrthdrawiad yn dilyn i unrhyw un sy'n mewngofnodi ddwywaith. Mae'n rhaid i'r enw sy'n gyrru ffurfweddiad fod yn unigryw fesul dyfais er mwyn i ffurfweddiad fesul dyfais olygu rhywbeth.

Beth na all hunaniaeth a rennir ei wneud adeg tynnu

Mae dadfachu'n gweithredu ar y dystysgrif, nid ar yr enw a ddangosir ac nid ar y sesiwn. Dadfachwch y dystysgrif honno ac mae pob dyfais sy'n dal copi yn colli mynediad ar unwaith, gan gynnwys yr un yn y swyddfa nad oes neb am ei tharfu. Cadwch hi ac mae'r ddyfais golledig yn dal i weithio, oherwydd nad oes dim yn y protocol yn ei gwahaniaethu oddi wrth y copi a gymeradwywyd.

Mae logiau'n etifeddu'r un amwysedd. Mae allbwn statws yn dangos enw cyffredin a chyfeiriad go iawn, a gall y ddau berthyn i'r naill ddyfais neu'r llall. Ni all adolygiad digwyddiad sydd angen gwybod pa beiriant a wnaeth beth ateb y cwestiwn o gofnodion y VPN ei hun, faint bynnag o fanylion y mae lefel y log yn ei rhoi.

Nid oes unrhyw ddatrysiad cryptograffig i hyn. Mae dwy ddyfais sy'n cyflwyno'r un dystysgrif, i'r gweinydd, yr un cyfranogwr ddwywaith, ac mae unrhyw gynllun sy'n honni fel arall yn gonfensiwn enwi yn hytrach na rheolaeth.

Pryd mae rhannu'n iawn, a sut i'w gyfyngu

Mae gan rannu ddefnyddiau dilys: cyfrif labordy a ddefnyddir gan sawl peiriant prawf, neu aelwyd lle mae'r dyfeisiau'n cael eu rheoli gyda'i gilydd ac nad yw manylder dadfachu'n bwysig. Yn yr achosion hynny, galluogwch yr opsiwn yn fwriadol, cadwch y cymhwyster a rennir allan o bolisi fesul dyfais, a rhowch le i'r gronfa fel na all sesiynau wrthdaro ar gyfeiriad.

Ar gyfer unrhyw beth sydd angen cyfeiriadau ar wahân, logiau ar wahân neu dynnu ar wahân, cyhoeddwch dystysgrifau ar wahân drwy'r llwybr cofrestru arferol. Mae hynny'n rhoi gwrthrych gwahanol i bob system i lawr yr afon i seilio arno, ac mae'r opsiwn yn peidio â bod yn bwysig oherwydd bod yr enwau eisoes yn unigryw.

Pa lwybr bynnag a ddewiswch, profwch y model rheoli yn hytrach na'r mewngofnodi. Cysylltwch y ddwy ddyfais, cadarnhewch eu bod yn dal cyfeiriadau gwahanol, yna efelychwch golled a gwiriwch y gallwch dynnu un ohonynt yn union. Mae llawlyfr openvpn(8) yn diffinio cwmpas yr opsiwn; mae eich gweithdrefn dynnu'n diffinio a yw rhannu'n dderbyniol mewn gwirionedd.