Kaks seadet, üks OpenVPN-sertifikaat: taasühenduse tsükkel

Tunnel, mis tõuseb ja taaskäivitub seejärel iga poole minuti tagant, ei ole tavaliselt šifri ega MTU probleem. See on üks identiteet, mida kasutatakse kaks korda. Server näeb tuttavat ühisnime, võtab uue sessiooni värskeimana, ja vanem seade avastab, et see asendati. Kliendi poolelt näeb see välja nagu tegevusetuse ajalõpp ja taaskäivitus, mistõttu uurimine algab nii sageli valest kohast.

Alustage taaskäivituse intervallist

Intervall on vihje enne kõike muud. Ühtlane rütm, mis sobib ping-restart aknaga, viitab asendatavale sessioonile, mitte katkisele teekonnale, sest tee tõrked on harva nii korrapärased. Kirjutage üles täpne vahe taaskäivituste vahel ja põhjuse rida kliendi logis. Ajalõpp, millele järgneb taaskäivitus, räägib teistsugust lugu kui ebaõnnestunud käepigistus.

Kontrollige, millal taaskäivitused teise seadme suhtes algasid. Uus sülearvuti, telefon või varumasinasse kopeeritud profiil on tavalised päästikud, ja aeg sobib tavaliselt päevaga, mil keegi selle seadistas.

Kirjutage intervall ja põhjus üles. Mõlemad on tõendid ja mõlemat on odav koguda.

Lugege, mida server teise sisselogimise kohta ütles

Serveris, mida te kontrollite, nimetab logi ühisnime ja näitab teist saabuvat ühendust. Ilma duplicate-cn asendab see saabumine sama nime olemasoleva sessiooni ja teade ütleb seda tavaliselt otse. Duplicate-cn korral eksisteerivad mõlemad sessioonid koos ja sümptom muutub: kliendid jäävad üles, kuid jagavad üht seadistuste komplekti kliendi kohta ja üht tühistamisotsust. Lugege kahte kirjet koos, sest asendus on nähtav ainult järjestuses.

Majutatud teenuses ei pruugi teil serverilogit üldse olla. Siis on vihjeks aeg: stabiilne tunnel, mis kukub iga kord, kui mõni teine masin ühendub, ja kliendi logis ei ole midagi peale ajalõpu.

Võrrelge sertifikaadi ja võtme plokke mõlemas profiilis, mitte ainult kaugema hosti nime. Kopeeritud profiilid erinevad tavaliselt ainult failinime poolest.

Eraldage identiteet serveri poolel

Väljastage üks sertifikaat seadme kohta selle CA kaudu, mis sellele serverile alla kirjutab. Easy-RSA korral tähendab see eraldi kliendinime iga seadme jaoks ja profiil ehitatakse seejärel sellest sertifikaadist ja selle võtmest. Ühisnimest saab seadme identiteet, mis on täpselt see, millest serveril puudu oli. Nimetage need seadme, mitte inimese järgi, et asendus annaks uue nime.

Jagatud juhtkanali võti on eraldi asi. tls-crypt või tls-auth kaitseb juhtkanalit iga kliendi jaoks ja on mõeldud jagamiseks. See ei ole kliendi identiteet ja selle asendamine ei paranda dubleeritud sertifikaati.

Hoidke sertifikaat, võti ja iga kliendipõhine konfiguratsioonifail sama ühisnime all, muidu katkeb vastendus järgmisel ühendusel. Sealne lahknevus loob kliendi, mis autendib end ja ei saa seejärel midagi.

Hoidke aadressid ja seadistused pärast jaotust kooskõlas

Fikseeritud aadressid toovad sisse teise kokkupõrke viisi. Kui server määrab need ifconfig-pool-persist või kliendipõhise faili kaudu, osutavad need kirjed endiselt vanale nimele. Kaks seadet võivad saada sama tunneliaadressi ka pärast sertifikaatide eraldamist, ja see rike näeb välja teistsugune kui algne tsükkel.

Uuendage vastendust sertifikaadiga samal ajal, seejärel ühendage mõlemad seadmed uuesti ja võrrelge neile antud aadresse. Dubleeritud aadress ilmneb katkendliku kaotusena, mitte puhta taasühendusena.

Saatke seadistused, mis peaksid seadmeti erinema, selle seadme enda faili kaudu, mitte jagatud malliga. Jagatud mall teeb ka järgmise duplikaadi märkamise raskemaks.

Kõrvaldage vana identiteet korralikult

Tühistage sertifikaat, kui riistvara kõrvaldatakse või on kadunud, selle asemel et profiil vanast masinast kustutada. Tühistamine loob uue CRL-i ja server vajab seda faili seal, kuhu osutab crl-verify. Selle direktiivi olemasolul sunnib puuduv või loetamatu CRL serverit iga klienti tagasi lükkama, seega testige pärast iga värskendust üht tuntud kontot.

Pidage inventari, mis seob iga sertifikaadi inimese või seadmega, koos väljastamise ja tühistamise kuupäevadega. See inventar vastab, kellel on veel juurdepääs, ilma failinimesid lugemata, ja takistab järgmisel kopeeritud profiilil tsüklit uuesti alustada.