Bi gailu, OpenVPN ziurtagiri bat: berriz konektatzeko begizta

Minutu erdiro altxatu eta berrabiarazten den tunel bat, normalean, ez da zifratze edo MTU arazoa. Behin baino gehiagotan erabilitako identitate bat da. Zerbitzariak izen arrunt ezagun bat ikusten du, sesio berria berriena dela hartzen du, eta gailu zaharragoak ordezkatu dutela aurkitzen du. Bezeroaren aldetik, jarduerarik ezaren denbora-muga eta berrabiarazte bat dirudi, eta horregatik hasten da ikerketa hain sarritan toki okerrean.

Hasi berrabiarazte tartetik

Tartea beste edozer baino lehenago arrasto bat da. ping-restart leihoarekin bat datorren erritmo egonkor batek ordezkatzen ari den sesio bat adierazten du, ez bide huts egite bat, bide-hutsegiteak oso gutxitan baitira hain erregularrak. Idatzi berrabiarazteen arteko tarte zehatza eta bezeroaren erregistroko arrazoi-lerroa. Denbora-muga baten ondorengo berrabiarazteak istorio desberdina kontatzen du eskuko keinu huts egite batek baino.

Egiaztatu noiz hasi ziren berrabiarazteak bigarren gailu baten aldean. Ordenagailu eramangarri berri bat, telefono bat edo ordezko makinara kopiatutako profil bat dira ohiko eragileak, eta unea, normalean, norbaitek hura konfiguratu zuen egunarekin bat dator.

Idatzi tartea eta arrazoia. Biak dira froga, eta biak dira merke biltzekoak.

Irakurri zer esan zuen zerbitzariak bigarren saio-hasieraz

Kontrolatzen duzun zerbitzari batean, erregistroak izen arrunta aipatzen du eta bigarren konexio bat iristen dela erakusten du. duplicate-cn gabe, iriste horrek izen bererako lehendik dagoen sesioa ordezkatzen du, eta mezuak, normalean, argi esaten du. duplicate-cn-rekin, bi sesioak elkarrekin bizi dira eta sintoma aldatzen da: bezeroak martxan jarraitzen dute baina bezero bakoitzeko ezarpen-multzo bakarra eta errebokazio-erabaki bakarra partekatzen dituzte. Irakurri bi sarrerak elkarrekin, ordezkapena segidatan soilik ikusten baita.

Ostatutako zerbitzu batean, agian, ez duzu zerbitzari-erregistrorik. Orduan arrastoa unea da: tunel egonkor bat, beste makina bat konektatzen den bakoitzean erortzen dena, eta bezeroaren erregistroan denbora-muga besterik ez.

Konparatu ziurtagiriaren eta gakoaren blokeak bi profiletan, ez bakarrik urruneko ostalari-izena. Kopiatutako profilek, normalean, fitxategi-izenean soilik bereizten dira.

Bereizi identitatea zerbitzariaren aldean

Eman ziurtagiri bat gailuko zerbitzari honetarako sinatzen duen CAaren bidez. Easy-RSArekin, horrek bezero-izen bereizi bat esan nahi du gailu bakoitzerako, eta profila ziurtagiri horretatik eta haren gakotik eraikitzen da gero. Izen arrunta gailuaren identitatea bihurtzen da, eta hori da, hain zuzen, zerbitzariari falta zitzaiona. Izenda itzazu gailuaren arabera, ez pertsonaren arabera, ordezkapen batek izen berria sor dezan.

Kontrol-kanaleko gako partekatua beste gauza bat da. tls-crypt edo tls-auth bezero bakoitzaren kontrol-kanala babesten du eta partekatzeko pentsatuta dago. Ez da bezero-identitatea, eta hura ordezkatzeak ez du ziurtagiri bikoiztu bat konponduko.

Eduki itzazu ziurtagiria, gakoa eta bezero bakoitzeko konfigurazio-fitxategia izen arrunt beraren pean, bestela mapaketa hautsi egiten da hurrengo konexioan. Han desadostasun batek autentifikatu eta gero ezer jasotzen ez duen bezero bat sortzen du.

Eduki itzazu helbideak eta ezarpenak lerrokatuta banaketaren ondoren

Helbide finkoek talka egiteko bigarren modu bat sartzen dute. Zerbitzariak ifconfig-pool-persist edo bezero bakoitzeko fitxategi baten bidez esleitzen baditu, erregistro horiek oraindik izen zaharrari erakusten diote. Bi gailuk tunel-helbide bera izan dezakete ziurtagiriak bereizi ondoren ere, eta hutsegite horrek jatorrizko begiztaren itxura desberdina du.

Eguneratu mapaketa ziurtagiriarekin batera, gero berriz konektatu bi gailuak eta konparatu emandako helbideak. Helbide bikoiztu bat tartekako galera gisa agertzen da, berriz konektatze garbi gisa beharrean.

Gailuz gailu desberdin behar duten ezarpenak gailu horren fitxategi propioaren bidez bidali, ez partekatutako txantiloi baten bidez. Partekatutako txantiloi batek hurrengo bikoizketa antzematea zailago egiten du.

Erretiratu identitate zaharra behar bezala

Errebokatu ziurtagiria hardwarea erretiratzen denean edo falta denean, profila makina zaharrean ezabatu beharrean. Errebokazioak CRL berri bat sortzen du, eta zerbitzariak fitxategi hori behar du crl-verify erakusten duen tokian. Direktiba hori indarrean, CRL falta edo irakurtezina bada, zerbitzariak bezero guztiak ukatzen ditu, beraz, probatu kontu ezagun bat eguneraketa bakoitzaren ondoren.

Eduki ezazu ziurtagiri bakoitza pertsona edo gailu batekin lotzen duen inbentarioa, jaulkipen eta errebokazio datak barne. Inbentario horrek erantzuten du nork duen oraindik sarbidea fitxategi-izenak irakurri gabe, eta hurrengo profil kopiatuak begizta berriro hastea eragozten du.