Dau ddyfais, un dystysgrif OpenVPN: y ddolen ailgysylltu

Nid problem seiffr nac MTU yw twnnel sy’n codi ac yna’n ailgychwyn bob hanner munud fel arfer. Un hunaniaeth yn cael ei defnyddio ddwywaith yw hi. Mae’r gweinydd yn gweld enw cyffredin cyfarwydd, yn cymryd y sesiwn newydd fel yr un ddiweddaraf, ac mae’r hen ddyfais yn darganfod ei bod wedi’i disodli. O ochr y cleient mae hynny’n edrych fel amser segur yn dod i ben ac ailgychwyn, a dyna pam mae’r ymchwiliad mor aml yn dechrau yn y lle anghywir.

Dechreuwch gyda’r cyfnod ailgychwyn

Mae’r cyfnod yn gliw yn gyntaf oll. Mae rhythm cyson sy’n cyfateb i ffenestr ping-restart yn awgrymu sesiwn sy’n cael ei disodli yn hytrach na llwybr sy’n methu, oherwydd anaml y mae methiannau llwybr mor rheolaidd â hynny. Nodwch yr union fwlch rhwng ailgychwyniadau a’r llinell reswm yn nogfen y cleient. Mae amser yn dod i ben ac yna ailgychwyn yn dweud stori wahanol i ysgwyd llaw wedi methu.

Gwiriwch pryd y dechreuodd yr ailgychwyniadau o gymharu ag ail ddyfais. Gliniadur newydd, ffôn, neu broffil wedi’i gopïo i beiriant wrth gefn yw’r sbardunau arferol, ac mae’r amseru fel arfer yn cyfateb i’r diwrnod y gosododd rhywun ef.

Ysgrifennwch y cyfnod a’r rheswm. Mae’r ddau yn dystiolaeth, ac mae’r ddau yn rhad i’w casglu.

Darllenwch beth ddywedodd y gweinydd am yr ail fewngofnodi

Ar weinydd sy’n eiddo i chi, mae’r log yn enwi’r enw cyffredin ac yn dangos ail gysylltiad yn cyrraedd. Heb duplicate-cn, mae’r dyfodiad hwnnw’n disodli’r sesiwn bresennol ar gyfer yr un enw, ac mae’r neges fel arfer yn dweud hynny’n blaen. Gyda duplicate-cn, mae’r ddwy sesiwn yn cydfodoli ac mae’r symptom yn newid: mae’r cleientiaid yn aros i fyny ond yn rhannu un set o osodiadau fesul cleient ac un penderfyniad dirymu. Darllenwch y ddau gofnod gyda’i gilydd, oherwydd dim ond yn y dilyniant y mae’r disodliad i’w weld.

Ar wasanaeth a gynhelir efallai nad oes gennych log gweinydd o gwbl. Yna amseru yw’r gliw: twnnel sefydlog sy’n cwympo pryd bynnag y bydd peiriant arall yn cysylltu, a dim byd yn nogfen y cleient y tu hwnt i’r amser segur.

Cymharwch flociau’r dystysgrif a’r allwedd yn y ddau broffil, nid enw’r gwesteiwr o bell yn unig. Fel arfer dim ond enw’r ffeil sy’n wahanol mewn proffiliau wedi’u copïo.

Rhanwch yr hunaniaeth ar ochr y gweinydd

Cyhoeddwch un dystysgrif fesul dyfais drwy’r CA sy’n arwyddo ar gyfer y gweinydd hwn. Gyda Easy-RSA mae hynny’n golygu enw cleient ar wahân ar gyfer pob dyfais, ac yna adeiledir y proffil o’r dystysgrif honno a’i hallwedd. Mae’r enw cyffredin yn dod yn hunaniaeth y ddyfais, sef yn union yr hyn oedd ar goll gan y gweinydd. Enwch nhw ar ôl y ddyfais yn hytrach na’r person, fel bod amnewid yn cynhyrchu enw newydd.

Mae allwedd y sianel reoli a rennir yn beth ar wahân. Mae tls-crypt neu tls-auth yn gwarchod y sianel reoli ar gyfer pob cleient ac fe’i bwriadwyd i’w rannu. Nid yw’n hunaniaeth cleient, ac ni fydd ei disodli yn trwsio tystysgrif ddyblyg.

Cadwch y dystysgrif, yr allwedd ac unrhyw ffeil ffurfweddu fesul cleient o dan yr un enw cyffredin, neu bydd y mapio’n torri ar y cysylltiad nesaf. Mae anghysondeb yno’n creu cleient sy’n dilysu ac yna’n derbyn dim.

Cadwch gyfeiriadau a gosodiadau’n unol ar ôl y rhaniad

Mae cyfeiriadau sefydlog yn cyflwyno ail ffordd o wrthdaro. Os yw’r gweinydd yn eu neilltuo drwy ifconfig-pool-persist neu ffeil fesul cleient, mae’r cofnodion hynny’n dal i bwyntio at yr hen enw. Gall dwy ddyfais gael yr un cyfeiriad twnnel hyd yn oed ar ôl i’r tystysgrifau gael eu gwahanu, ac mae’r methiant hwnnw’n edrych yn wahanol i’r ddolen wreiddiol.

Diweddarwch y mapio ar yr un pryd â’r dystysgrif, yna ailgysylltwch y ddwy ddyfais a chymharu’r cyfeiriadau a neilltuwyd iddynt. Mae cyfeiriad dyblyg yn ymddangos fel colled ysbeidiol yn hytrach nag ailgysylltiad glân.

Anfonwch osodiadau y dylent fod yn wahanol fesul dyfais drwy ffeil y ddyfais honno ei hun, nid drwy dempled a rennir. Mae templed a rennir hefyd yn gwneud y dyblyg nesaf yn anoddach i’w weld.

Rhowch yr hen hunaniaeth i orffwys yn iawn

Dirymwch y dystysgrif pan fydd caledwedd yn cael ei hymddeol neu ar goll, yn lle dileu’r proffil o’r hen beiriant. Mae dirymu’n cynhyrchu CRL newydd, ac mae ar y gweinydd angen y ffeil honno lle mae crl-verify yn pwyntio. Gyda’r cyfarwyddeb honno yn ei lle, mae CRL ar goll neu annarllenadwy yn gwneud i’r gweinydd wrthod pob cleient, felly profwch un cyfrif hysbys ar ôl pob diweddariad.

Cadwch restrau sy’n cysylltu pob tystysgrif â pherson neu ddyfais, gyda dyddiadau cyhoeddi a dirymu. Mae’r rhestr honno’n ateb pwy sydd â mynediad o hyd heb ddarllen enwau ffeiliau, ac mae’n atal y proffil copïedig nesaf rhag ailgychwyn y ddolen.