Twa apparaten, ien OpenVPN-sertifikaat: de werferbyningslus

In tunnel dy't omheech komt en dan elke heale minút werstart, is meastentiids gjin cipher- of MTU-probleem. It is ien identiteit dy't twa kear brûkt wurdt. De server sjocht in fertroud common name, nimt de nije sesje as de nijste, en it âldere apparaat ûntdekt dat it ferfongen is. Fan 'e kliïntkant liket dat op in ynaktiviteitstiidferrin en in werstart, en dêrom begjint it ûndersyk sa faak op it ferkearde plak.

Begjin by it werstartinterval

It interval is in oanwizing foar al it oare. In lykmjittich ritme dat by it ping-restart-finster past, wiist op in sesje dy't ferfongen wurdt ynstee fan in paad dat mislearret, want paadflatings binne selden sa regelmjittich. Notearje it krekte skoft tusken werstarts en de redenrigel yn 'e kliïntlog. In tiidferrin folge troch in werstart fertelt in oar ferhaal as in mislearre handshake.

Kontrolearje wannear't de werstarts begûnen yn ferhâlding ta in twadde apparaat. In nije laptop, in telefoan of in profyl kopiearre nei in reserve-masine binne de gewoane oanliedingen, en de tiid past meastentiids by de dei dat immen it opsette.

Skriuw it interval en de reden op. Beide binne bewiis, en beide binne goedkeap te sammeljen.

Lês wat de server oer de twadde oanmelding sei

Op in server dy't jo beheare, neamt de log it common name en lit in twadde ferbining sjen dy't oankomt. Sûnder duplicate-cn ferfangt dy oankomst de besteande sesje foar deselde namme, en it berjocht seit dat meastentiids rjochtút. Mei duplicate-cn bestean beide sesjes njonken inoar en feroaret it symptoom: de kliïnten bliuwe oan, mar diele ien set ynstellingen per kliïnt en ien weromlûkingsbeslút. Lês de twa ynskriuwingen tegearre, want de ferfanging is allinnich yn folchoarder sichtber.

By in hoste tsjinst hawwe jo miskien hielendal gjin serverlog. It oanwizing is dan timing: in stabile tunnel dy't falt wannear't in oare masine ferbynt, en neat yn 'e kliïntlog bûten it tiidferrin.

Fergelykje de sertifikaat- en kaai-blokken yn beide profilen, net allinnich de hostnamme fan fierrens. Kopiearre profilen ferskille meastentiids allinnich yn 'e bestânsnamme.

Splits de identiteit oan 'e serverkant

Jou ien sertifikaat per apparaat út fia de CA dy't foar dizze server ûndertekenet. Mei Easy-RSA betsjut dat in aparte kliïntnamme foar elk apparaat, en it profyl wurdt dan boud út dat sertifikaat en syn kaai. It common name wurdt de identiteit fan it apparaat, en dat is krekt wat de server miste. Neam se nei it apparaat ynstee fan de persoan, sadat in ferfanging in nije namme jout.

De dielde kontrôlekanaalkaai is in apart ding. tls-crypt of tls-auth beskermet it kontrôlekanaal foar elke kliïnt en is bedoeld om dield te wurden. It is gjin kliïntidentiteit, en it ferfangen sil in dûbele sertifikaat net reparearje.

Hâld it sertifikaat, de kaai en elk konfiguraasjebestân per kliïnt ûnder deselde common name, oars brekt de mapping by de folgjende ferbining. In mismatch dêre makket in kliïnt dy't autentisearret en dan neat ûntfangt.

Hâld adressen en ynstellingen ôfstimd nei de splitsing

Fêste adressen yntrodusearje in twadde manier om te botsen. As de server se jout fia ifconfig-pool-persist of in bestân per kliïnt, wize dy records noch altyd nei de âlde namme. Twa apparaten kinne deselde tunneladres krije sels nei't de sertifikaten skieden binne, en dy flater sjocht der oars út as de oarspronklike lus.

Wurkje de mapping by tagelyk mei it sertifikaat, ferbyn dan beide apparaten op 'e nij en fergelykje har tawiisde adressen. In dûbel adres lit him sjen as ûnregelmjittich ferlies ynstee fan in skjinne werferbining.

Stjoer ynstellingen dy't per apparaat ferskille moatte fia it eigen bestân fan dat apparaat, net fia in dield sjabloan. In dield sjabloan makket de folgjende dûbeling ek hurder te spotten.

Tankje de âlde identiteit goed ôf

Lûk it sertifikaat werom as hardware ôftanke of fermist wurdt, ynstee fan it profyl fan 'e âlde masine te wiskjen. Weromlûking produsearret in nije CRL, en de server hat dat bestân nedich wêr't crl-verify wiist. Mei dy rjochtline op syn plak makket in ûntbrekkende of ûnlêsbere CRL dat de server elke kliïnt ôfwiist, dus test ien bekend akkount nei elke fernijing.

Hâld in ynventaris by dy't elk sertifikaat oan in persoan of apparaat keppelt, mei útjaan- en weromlûkingsdatums. Dy ynventaris beantwurdet wa't noch tagong hat sûnder bestânsnammen te lêzen, en hy hâldt it folgjende kopiearre profyl tsjin om de lus wer te begjinnen.