Kaksi laitetta, yksi OpenVPN-varmenne: uudelleenyhdistämisen silmukka

Tunneli, joka nousee ja käynnistyy sitten uudelleen puolen minuutin välein, ei yleensä ole salauksen eikä MTU:n ongelma. Se on yksi identiteetti, jota käytetään kahdesti. Palvelin näkee tutun yleisnimen, ottaa uuden istunnon uusimpana, ja vanhempi laite huomaa tulleensa korvatuksi. Asiakkaan puolelta se näyttää toimettomuuden aikakatkaisulta ja uudelleenkäynnistykseltä, minkä vuoksi tutkinta alkaa niin usein väärästä paikasta.

Aloita uudelleenkäynnistyksen välistä

Väli on vihje ennen kaikkea muuta. Tasainen rytmi, joka sopii ping-restart-ikkunaan, viittaa korvattavaan istuntoon eikä rikkoutuneeseen polkuun, koska polun viat ovat harvoin näin säännöllisiä. Kirjaa tarkka väli uudelleenkäynnistysten välillä ja syyrivi asiakkaan lokissa. Aikakatkaisu, jota seuraa uudelleenkäynnistys, kertoo eri tarinan kuin epäonnistunut kättely.

Tarkista, milloin uudelleenkäynnistykset alkoivat suhteessa toiseen laitteeseen. Uusi kannettava, puhelin tai varakoneelle kopioitu profiili ovat tavallisia laukaisijoita, ja ajankohta osuu yleensä päivään, jolloin joku asensi sen.

Kirjoita väli ja syy muistiin. Molemmat ovat todisteita, ja molemmat on halpa kerätä.

Lue, mitä palvelin sanoi toisesta kirjautumisesta

Hallitsemassasi palvelimessa loki nimeää yleisnimen ja näyttää toisen saapuvan yhteyden. Ilman duplicate-cn-tilaa se saapuminen korvaa saman nimen olemassa olevan istunnon, ja viesti kertoo sen yleensä suoraan. duplicate-cn-tilassa molemmat istunnot ovat rinnakkain ja oire muuttuu: asiakkaat pysyvät ylhäällä mutta jakavat yhden asetussarjan asiakasta kohden ja yhden mitätöintipäätöksen. Lue molemmat merkinnät yhdessä, sillä korvaus näkyy vain järjestyksessä.

Isännöidyssä palvelussa sinulla ei ehkä ole palvelinlokia lainkaan. Silloin vihje on ajoitus: vakaa tunneli, joka putoaa aina, kun toinen kone yhdistää, eikä asiakkaan lokissa ole muuta kuin aikakatkaisu.

Vertaa varmenteen ja avaimen lohkoja molemmissa profiileissa, älä vain etähän nimeä. Kopioidut profiilit eroavat yleensä vain tiedostonimeltään.

Erota identiteetti palvelimen puolella

Myönnä yksi varmenne laitetta kohden sen CA:n kautta, joka allekirjoittaa tälle palvelimelle. Easy-RSAlla se tarkoittaa erillistä asiakasnimeä jokaiselle laitteelle, ja profiili rakennetaan sitten siitä varmenteesta ja sen avaimesta. Yleisnimestä tulee laitteen identiteetti, ja juuri se palvelimelta puuttui. Nimeä ne laitteen eikä henkilön mukaan, jotta vaihto tuottaa uuden nimen.

Jaettu ohjauskanavan avain on eri asia. tls-crypt tai tls-auth suojaa ohjauskanavan jokaiselle asiakkaalle ja on tarkoitettu jaettavaksi. Se ei ole asiakkaan identiteetti, eikä sen vaihtaminen korjaa kaksinkertaista varmennetta.

Pidä varmenne, avain ja asiakaskohtainen asetustiedosto saman yleisnimen alla, muuten kartoitus rikkoutuu seuraavassa yhteydessä. Poikkeama siellä tuottaa asiakkaan, joka todentuu ja jää sitten ilman mitään.

Pidä osoitteet ja asetukset linjassa jaon jälkeen

Kiinteät osoitteet tuovat toisen tavan törmätä. Jos palvelin jakaa ne ifconfig-pool-persist-asetuksen tai asiakaskohtaisen tiedoston kautta, ne merkinnät osoittavat yhä vanhaan nimeen. Kaksi laitetta voi päätyä samaan tunneliosoitteeseen vielä varmenteiden erottamisen jälkeen, ja se vika näyttää erilaiselta kuin alkuperäinen silmukka.

Päivitä kartoitus samaan aikaan varmenteen kanssa, yhdistä sitten molemmat laitteet uudelleen ja vertaa niille annettuja osoitteita. Kaksinkertainen osoite näkyy ajoittaisena häviönä eikä puhtaana uudelleenyhdistämisenä.

Lähetä laitekohtaisesti eroavat asetukset sen laitteen omalla tiedostolla, älä jaetulla mallilla. Jaettu malli vaikeuttaa myös seuraavan kopion havaitsemista.

Poista vanha identiteetti asianmukaisesti

Mitätöi varmenne, kun laitteisto poistetaan käytöstä tai katoaa, sen sijaan että poistaisit profiilin vanhalta koneelta. Mitätöinti tuottaa uuden CRL:n, ja palvelin tarvitsee sen tiedoston sinne, mihin crl-verify osoittaa. Kun tämä direktiivi on paikallaan, puuttuva tai lukukelvoton CRL saa palvelimen hylkäämään jokaisen asiakkaan, joten testaa yksi tunnettu tili jokaisen päivityksen jälkeen.

Pidä luetteloa, joka sitoo jokaisen varmenteen henkilöön tai laitteeseen, myöntämis- ja mitätöintipäivineen. Se luettelo vastaa, kellä on yhä pääsy lukematta tiedostonimiä, ja se estää seuraavaa kopioitua profiilia käynnistämästä silmukkaa uudelleen.