Du aparatoj, unu OpenVPN-atestilo: la rekonekta buklo

Tunelo, kiu leviĝas kaj poste restartas ĉiun duonan minuton, kutime ne estas problemo de ĉifro aŭ MTU. Ĝi estas unu identeco uzata dufoje. La servilo vidas konatan komunan nomon, prenas la novan sesion kiel la plej freŝan, kaj la pli malnova aparato malkovras, ke ĝi estis anstataŭigita. De la klienta flanko tio aspektas kiel senaktiva tempolimo kaj restarto, kaj tial la esploro tiel ofte komenciĝas en la malĝusta loko.

Komencu per la restarta intervalo

La intervalo estas indico antaŭ ĉio alia. Konstanta ritmo kongrua kun la ping-restart-fenestro montras anstataŭigatan sesion, ne malsukcesan vojon, ĉar vojeraroj malofte estas tiom regulaj. Notu la precizan interspacon inter restartoj kaj la kialan linion en la klienta protokolo. Tempolimo sekvata de restarto rakontas alian historion ol malsukcesa manpremo.

Kontrolu, kiam la restartoj komenciĝis rilate al dua aparato. Nova tekkomputilo, telefono aŭ profilo kopiita al rezerva maŝino estas la kutimaj kaŭzoj, kaj la tempo kutime kongruas kun la tago, kiam iu ĝin agordis.

Skribu la intervalon kaj la kialon. Ambaŭ estas pruvoj, kaj ambaŭ estas malmultekoste kolekteblaj.

Legu, kion la servilo diris pri la dua ensaluto

Sur servilo, kiun vi kontrolas, la protokolo nomas la komunan nomon kaj montras duan konekton alvenantan. Sen duplicate-cn tiu alveno anstataŭigas la ekzistantan sesion por la sama nomo, kaj la mesaĝo kutime diras tion malkaŝe. Kun duplicate-cn ambaŭ sesioj kunekzistas kaj la simptomo ŝanĝiĝas: la klientoj restas aktivaj sed dividas un aron da agordoj por kliento kaj unu revokan decidon. Legu la du rikordojn kune, ĉar la anstataŭigo videblas nur en sinsekvo.

Ĉe gastigita servo vi eble tute ne havas servilan protokolon. La indico tiam estas tempo: stabila tunelo, kiu falas ĉiam, kiam alia maŝino konektiĝas, kaj nenio en la klienta protokolo krom la tempolimo.

Komparu la atestilan kaj ŝlosilan blokojn en ambaŭ profiloj, ne nur la malproksiman gastigantan nomon. Kopiitaj profiloj kutime diferenciĝas nur per la dosiernomo.

Disigu la identecon ĉe la servila flanko

Eldonu unu atestilon por aparato per la CA, kiu subskribas por ĉi tiu servilo. Kun Easy-RSA tio signifas apartan klientan nomon por ĉiu aparato, kaj la profilo poste konstruiĝas el tiu atestilo kaj ĝia ŝlosilo. La komuna nomo fariĝas la identeco de la aparato, kio estas ĝuste tio, kio mankis al la servilo. Nomu ilin laŭ la aparato anstataŭ la persono, por ke anstataŭigo produktu novan nomon.

La komuna ŝlosilo de la rega kanalo estas aparta afero. tls-crypt aŭ tls-auth protektas la regan kanalon por ĉiu kliento kaj estas destinita al dividado. Ĝi ne estas klienta identeco, kaj anstataŭigi ĝin ne riparos duobligitan atestilon.

Tenu la atestilon, la ŝlosilon kaj ajnan agordan dosieron por kliento sub la sama komuna nomo, alie la mapado rompiĝas ĉe la sekva konekto. Miskongruo tie kreas klienton, kiu aŭtentikigas kaj poste ricevas nenion.

Tenu adresojn kaj agordojn kongruaj post la disigo

Fiksaj adresoj enkondukas duan manieron kolizii. Se la servilo asignas ilin per ifconfig-pool-persist aŭ dosiero por kliento, tiuj rikordoj ankoraŭ montras al la malnova nomo. Du aparatoj povas fini kun la sama tunela adreso eĉ post kiam la atestiloj estas apartaj, kaj tiu fiasko aspektas alie ol la origina buklo.

Ĝisdatigu la mapadon samtempe kun la atestilo, poste rekonektu ambaŭ aparatojn kaj komparu iliajn asignitajn adresojn. Duobla adreso montriĝas kiel intermita perdo, ne kiel pura rekonekto.

Sendu agordojn, kiuj devus diferenci laŭ aparato, per la propra dosiero de tiu aparato, ne per komuna ŝablono. Komuna ŝablono ankaŭ malfaciligas rimarki la sekvan duoblaĵon.

Retiru la malnovan identecon dece

Revoku la atestilon, kiam aparataro estas retirata aŭ mankas, anstataŭ forigi la profilon de la malnova maŝino. Revoko produktas novan CRL, kaj la servilo bezonas tiun dosieron tie, kien montras crl-verify. Kun tiu direktivo en loko, mankanta aŭ nelegebla CRL igas la servilon rifuzi ĉiun klienton, do testu unu konatan konton post ĉiu ĝisdatigo.

Tenu inventaron, kiu ligas ĉiun atestilon al persono aŭ aparato, kun eldonaj kaj revokaj datoj. Tiu inventaro respondas, kiu ankoraŭ havas aliron sen legi dosiernomojn, kaj ĝi malhelpas la sekvan kopiitan profilon restarti la buklon.