Δύο συσκευές, ένα πιστοποιητικό OpenVPN: ο βρόχος επανασύνδεσης

Μια σήραγγα που ανεβαίνει και μετά επανεκκινεί κάθε μισό λεπτό συνήθως δεν είναι πρόβλημα κρυπτογράφησης ή MTU. Είναι μία ταυτότητα που χρησιμοποιείται δύο φορές. Ο διακομιστής βλέπει ένα γνώριμο κοινό όνομα, παίρνει τη νέα συνεδρία ως την πιο πρόσφατη, και η παλαιότερη συσκευή ανακαλύπτει ότι αντικαταστάθηκε. Από την πλευρά του πελάτη αυτό μοιάζει με λήξη χρόνου αδράνειας και επανεκκίνηση, γι’ αυτό η έρευνα τόσο συχνά ξεκινά στο λάθος σημείο.

Ξεκινήστε από το διάστημα επανεκκίνησης

Το διάστημα είναι μια ένδειξη πριν από οτιδήποτε άλλο. Ένας σταθερός ρυθμός που ταιριάζει με το παράθυρο ping-restart δείχνει συνεδρία που αντικαθίσταται και όχι διαδρομή που αποτυγχάνει, γιατί οι αστοχίες διαδρομής σπάνια είναι τόσο τακτικές. Σημειώστε το ακριβές κενό ανάμεσα στις επανεκκινήσεις και τη γραμμή αιτίας στο αρχείο του πελάτη. Μια λήξη χρόνου που ακολουθείται από επανεκκίνηση λέει διαφορετική ιστορία από μια αποτυχημένη χειραψία.

Ελέγξτε πότε άρχισαν οι επανεκκινήσεις σε σχέση με μια δεύτερη συσκευή. Ένα νέο φορητό, ένα τηλέφωνο ή ένα προφίλ αντιγραμμένο σε εφεδρικό μηχάνημα είναι τα συνήθη αίτια, και ο χρόνος συνήθως ταιριάζει με την ημέρα που κάποιος το έστησε.

Γράψτε το διάστημα και την αιτία. Και τα δύο είναι αποδείξεις, και τα δύο συλλέγονται φθηνά.

Διαβάστε τι είπε ο διακομιστής για τη δεύτερη σύνδεση

Σε διακομιστή που ελέγχετε, το αρχείο ονομάζει το κοινό όνομα και δείχνει μια δεύτερη σύνδεση να φτάνει. Χωρίς duplicate-cn, αυτή η άφιξη αντικαθιστά την υπάρχουσα συνεδρία για το ίδιο όνομα, και το μήνυμα συνήθως το λέει ευθέως. Με duplicate-cn, οι δύο συνεδρίες συνυπάρχουν και το σύμπτωμα αλλάζει: οι πελάτες μένουν συνδεδεμένοι αλλά μοιράζονται ένα σύνολο ρυθμίσεων ανά πελάτη και μία απόφαση ανάκλησης. Διαβάστε τις δύο εγγραφές μαζί, γιατί η αντικατάσταση φαίνεται μόνο στη σειρά.

Σε φιλοξενούμενη υπηρεσία μπορεί να μην έχετε καθόλου αρχείο διακομιστή. Τότε η ένδειξη είναι ο χρόνος: μια σταθερή σήραγγα που πέφτει κάθε φορά που συνδέεται άλλο μηχάνημα, και τίποτα στο αρχείο του πελάτη πέρα από τη λήξη χρόνου.

Συγκρίνετε τα τμήματα πιστοποιητικού και κλειδιού στα δύο προφίλ, όχι μόνο το απομακρυσμένο όνομα κεντρικού υπολογιστή. Τα αντιγραμμένα προφίλ συνήθως διαφέρουν μόνο στο όνομα αρχείου.

Χωρίστε την ταυτότητα στην πλευρά του διακομιστή

Εκδώστε ένα πιστοποιητικό ανά συσκευή μέσω της αρχής που υπογράφει για αυτόν τον διακομιστή. Με το Easy-RSA αυτό σημαίνει ξεχωριστό όνομα πελάτη για κάθε συσκευή, και το προφίλ χτίζεται μετά από αυτό το πιστοποιητικό και το κλειδί του. Το κοινό όνομα γίνεται η ταυτότητα της συσκευής, που είναι ακριβώς ό,τι έλειπε από τον διακομιστή. Ονομάστε τα με βάση τη συσκευή και όχι το πρόσωπο, ώστε μια αντικατάσταση να παράγει νέο όνομα.

Το κοινό κλειδί του καναλιού ελέγχου είναι ξεχωριστό πράγμα. tls-crypt ή tls-auth προστατεύει το κανάλι ελέγχου για κάθε πελάτη και προορίζεται να μοιράζεται. Δεν είναι ταυτότητα πελάτη, και η αντικατάστασή του δεν θα διορθώσει διπλό πιστοποιητικό.

Κρατήστε το πιστοποιητικό, το κλειδί και κάθε αρχείο ρυθμίσεων ανά πελάτη με το ίδιο κοινό όνομα, αλλιώς η αντιστοίχιση σπάει στην επόμενη σύνδεση. Μια αναντιστοιχία εκεί παράγει πελάτη που πιστοποιείται και μετά δεν λαμβάνει τίποτα.

Διατηρήστε διευθύνσεις και ρυθμίσεις ευθυγραμμισμένες μετά τον διαχωρισμό

Οι σταθερές διευθύνσεις εισάγουν δεύτερο τρόπο σύγκρουσης. Αν ο διακομιστής τις αναθέτει μέσω ifconfig-pool-persist ή αρχείου ανά πελάτη, αυτές οι εγγραφές δείχνουν ακόμη στο παλιό όνομα. Δύο συσκευές μπορεί να καταλήξουν με την ίδια διεύθυνση σήραγγας ακόμη και αφού χωριστούν τα πιστοποιητικά, και αυτή η αστοχία μοιάζει διαφορετική από τον αρχικό βρόχο.

Ενημερώστε την αντιστοίχιση μαζί με το πιστοποιητικό, έπειτα επανασυνδέστε και τις δύο συσκευές και συγκρίνετε τις διευθύνσεις που τους δόθηκαν. Μια διπλή διεύθυνση εμφανίζεται ως διακοπτόμενη απώλεια και όχι ως καθαρή επανασύνδεση.

Στείλτε τις ρυθμίσεις που πρέπει να διαφέρουν ανά συσκευή μέσω του δικού της αρχείου, όχι μέσω κοινόχρηστου προτύπου. Ένα κοινόχρηστο πρότυπο κάνει και το επόμενο διπλό δυσκολότερο να εντοπιστεί.

Αποσύρετε σωστά την παλιά ταυτότητα

Ανακαλέστε το πιστοποιητικό όταν το υλισμικό αποσύρεται ή λείπει, αντί να διαγράψετε το προφίλ από το παλιό μηχάνημα. Η ανάκληση παράγει νέο CRL, και ο διακομιστής χρειάζεται αυτό το αρχείο εκεί που δείχνει το crl-verify. Με αυτή την οδηγία στη θέση της, ένα CRL που λείπει ή δεν διαβάζεται κάνει τον διακομιστή να απορρίπτει κάθε πελάτη, γι’ αυτό δοκιμάστε ένα γνωστό λογαριασμό μετά από κάθε ενημέρωση.

Κρατήστε ένα μητρώο που συνδέει κάθε πιστοποιητικό με πρόσωπο ή συσκευή, με ημερομηνίες έκδοσης και ανάκλησης. Αυτό το μητρώο απαντά ποιος έχει ακόμη πρόσβαση χωρίς να διαβάζετε ονόματα αρχείων, και εμποδίζει το επόμενο αντιγραμμένο προφίλ να ξαναρχίσει τον βρόχο.