duplicate-cn બે ઉપકરણોને એક ઓળખ આપે છે, બે નહીં

પ્રોફાઇલ ટેબ્લેટમાં કૉપી કરો, કનેક્ટ કરો, અને લેપટોપ નીકળી જાય છે. duplicate-cn ઉમેરો, બંને જોડાયેલા રહે છે, અને સમસ્યા હલ થયેલી લાગે છે, જ્યાં સુધી બે ઉપકરણો એક જ ટનલ સરનામા માટે ઝઘડે નહીં અથવા ખોવાયેલું ટેબ્લેટ આખું ખાતું ઑફલાઇન ન કરે. આ વિકલ્પ એક જ વસ્તુ બદલે છે: સર્વર પહેલેથી જોયેલા નામ હેઠળ બીજા સત્રને મંજૂરી આપે છે કે નહીં. લોકો જે સુધારવાની અપેક્ષા રાખે છે — ઉપકરણ સ્વતંત્રતાથી લઈને પ્રતિ-ઉપકરણ સરનામાંકન અને પસંદગીયુક્ત રદ સુધી — તે બધું હજી પણ ઓળખ દ્વારા જ થાય છે, અને અહીં ઓળખ એટલે પ્રમાણપત્ર.

દંતકથા: બીજું સત્ર એ બીજી ઓળખ છે

અંતર્જ્ઞાન કહે છે કે બે કનેક્શન બે ક્લાયન્ટ હોવા જોઈએ, અને બે ક્લાયન્ટ પોતાના હક્કો ધરાવતા બે ઉપકરણો હોવા જોઈએ. સર્વર આવું મૉડલ કરતું નથી. તે એક સામાન્ય નામ જુએ છે, અને duplicate-cn સક્રિય હોય ત્યારે તે નામ ધરાવતાં એક કરતાં વધુ જીવંત સત્રો સ્વીકારે છે, અને દરેકને ડીમનમાં પોતાની સત્ર સ્થિતિ મળે છે.

એ સ્વીકાર પ્રમાણપત્ર ચકાસણીને કંઈ જ સ્પર્શતો નથી. એ જ પ્રમાણપત્ર હજી પણ ઓળખપત્ર છે, એ જ કી હજી પણ ખાનગી કી છે, અને પ્રમાણપત્રના વિષય પર આધારિત કોઈપણ નીતિ હજી પણ બે વાર એ જ મૂલ્ય પર ઉકલે છે. બીજું સત્ર એ બીજું સોકેટ છે, બીજી ઓળખ નહીં.

બધું ચાલે ત્યાં સુધી આ તફાવત અદૃશ્ય રહે છે. બે ઉપકરણોને અલગ પાડવા પડે તે ક્ષણે તે ખૂબ દૃશ્યમાન બને છે, અને સામાન્ય રીતે તે એ જ દિવસ હોય છે જ્યારે એક ખોવાઈ જાય છે.

બે સત્રો એક નામ વહેંચે ત્યારે ખરેખર શું બદલાય છે

વિકલ્પ વિના, પહેલેથી જોડાયેલા સામાન્ય નામ હેઠળનું નવું કનેક્શન અગાઉના સત્રને ખસેડી નાખે છે. તેથી જ ટેબ્લેટ જોડાય ત્યારે લેપટોપ નીકળી જાય છે, અને આ બગ નહીં પણ જાણી જોઈને રાખેલી અસ્પષ્ટતા-સામેની સુરક્ષા છે. વિકલ્પ સાથે બંને સત્રો જીવંત રહે છે અને સર્વર તેમને ઉપકરણ પ્રમાણે નહીં, સત્ર પ્રમાણે અલગ રીતે ટ્રૅક કરે છે.

દરેક સત્રને હજી પણ પોતાનું બાહ્ય કનેક્શન અને પોતાની વાટાઘાટ કરેલી કી મળે છે, તેથી સમવર્તી થ્રુપુટ ખરેખર સમવર્તી છે. તેઓ જે વહેંચે છે તે ઓળખપત્રમાંથી ઉતરી આવેલું બધું જ છે: નીતિ શોધ, ક્લાયન્ટ-વિશિષ્ટ રૂપરેખાંકન, લૉગ ઓળખ અને રદ કરવું. સત્ર સ્થિતિ કનેક્શનની છે અને તેની સાથે મરે છે, જ્યારે ઓળખપત્ર-સ્તરની હકીકતો બંને માટે ટકી રહે છે. તેથી જ સ્થિતિ આઉટપુટ એક જ નામ બે વાર સૂચિબદ્ધ કરી શકે છે જ્યારે કાઉન્ટર અલગ રહે છે.

તેના પર ડિઝાઇન કરતા પહેલાં ખાતરી કરો કે તમારું બિલ્ડ ખરેખર શું કરે છે, કારણ કે વિકલ્પની અસર વિકલ્પ પોતે જ નક્કી કરે છે, લોકવાયકા નહીં:

grep -n 'duplicate-cn\|client-config-dir\|username-as-common-name' /etc/openvpn/server.conf

તમે ફાળવ્યું હોવાનું વિચારેલું સ્થિર સરનામું

પ્રતિ-ક્લાયન્ટ રૂપરેખાંકન નામ દ્વારા શોધાય છે, અને એમાં જ જાળ છે. સામાન્ય નામ પરથી નામ રાખેલી client-config-dir ફાઇલ એ નામ વાપરતા દરેક ઉપકરણને લાગુ પડે છે, તેથી તેની અંદરનું ifconfig-push બંને ઉપકરણોને એક જ ટનલ સરનામું આપે છે. બીજું સત્ર કાં તો સ્થપાતું નથી, અથવા રાઉટિંગ ખામી જેવું લાગે તે રીતે ટકરાય છે.

ગતિશીલ પૂલ આકસ્મિક રીતે સારું વર્તે છે, કારણ કે દરેક સત્રને પૂલમાંથી સ્વતંત્ર રીતે સરનામું ફાળવાય છે. તે હજી પણ તમને પ્રતિ-ઉપકરણ સ્થિર સરનામું આપતું નથી, અને તે સરનામા સાથે જોડાયેલી પ્રતિ-ઉપકરણ નીતિ તો ચોક્કસ આપતું નથી.

જો ડિપ્લોયમેન્ટ username-as-common-name વાપરે છે, તો શોધ-કી પ્રમાણપત્રના વિષયને બદલે પ્રમાણિત વપરાશકર્તા નામ બને છે, અને બે વાર લૉગિન કરનાર દરેકને એ જ અથડામણ થાય છે. રૂપરેખાંકન ચલાવતું નામ પ્રતિ-ઉપકરણ અનન્ય હોવું જોઈએ, તો જ પ્રતિ-ઉપકરણ રૂપરેખાંકનનો અર્થ રહે છે.

દૂર કરવાના સમયે વહેંચાયેલી ઓળખ શું કરી શકતી નથી

રદ કરવું પ્રમાણપત્ર પર લાગુ પડે છે, દર્શાવેલા નામ પર નહીં અને સત્ર પર પણ નહીં. એ પ્રમાણપત્ર રદ કરો અને નકલ ધરાવતું દરેક ઉપકરણ એકસાથે પ્રવેશ ગુમાવે છે, જેમાં ઑફિસમાં પડેલું એ પણ સામેલ છે જેને કોઈ તકલીફ આપવા માંગતું નથી. તે રાખો અને ખોવાયેલું ઉપકરણ કામ કરતું રહે છે, કારણ કે પ્રોટોકોલમાં કંઈ પણ તેને મંજૂર નકલથી અલગ પાડતું નથી.

લૉગને એ જ અસ્પષ્ટતા વારસામાં મળે છે. સ્થિતિ આઉટપુટ સામાન્ય નામ અને વાસ્તવિક સરનામું બતાવે છે, અને બંને બેમાંથી કોઈપણ ઉપકરણનાં હોઈ શકે. કઈ મશીને શું કર્યું તે જાણવું હોય તેવી ઘટના-સમીક્ષા VPNના પોતાના રેકોર્ડમાંથી એ પ્રશ્નનો જવાબ આપી શકતી નથી, લૉગ સ્તર ભલે ગમે તેટલી વિગત આપે.

આ માટે કોઈ ક્રિપ્ટોગ્રાફિક ઉપાય નથી. એક જ પ્રમાણપત્ર રજૂ કરતાં બે ઉપકરણો સર્વર માટે એક જ સહભાગી બે વાર છે, અને તેનાથી વિરુદ્ધ દાવો કરતી કોઈપણ યોજના નિયંત્રણ નહીં, પણ નામકરણની પરંપરા છે.

ક્યારે વહેંચવું યોગ્ય છે, અને તેને કેવી રીતે મર્યાદિત કરવું

વહેંચવાના કાયદેસર ઉપયોગો છે: ઘણાં પરીક્ષણ મશીનો વાપરતું લેબ ખાતું, અથવા એવું ઘર જ્યાં ઉપકરણો સાથે મળીને સંભાળાય છે અને રદ કરવાની સૂક્ષ્મતાને મહત્ત્વ નથી. એવા કિસ્સામાં વિકલ્પ જાણી જોઈને સક્રિય કરો, વહેંચાયેલું ઓળખપત્ર પ્રતિ-ઉપકરણ નીતિથી બહાર રાખો, અને પૂલમાં પૂરતી જગ્યા રાખો જેથી સત્રો એક સરનામા પર ટકરાય નહીં.

અલગ સરનામાં, અલગ લૉગ કે અલગ દૂર કરવાની જરૂર હોય તે દરેક વસ્તુ માટે સામાન્ય નોંધણી માર્ગ દ્વારા અલગ પ્રમાણપત્રો આપો. તેનાથી દરેક નીચેના સિસ્ટમને આધાર રાખવા માટે અલગ ઑબ્જેક્ટ મળે છે, અને વિકલ્પનું મહત્ત્વ રહેતું નથી કારણ કે નામો પહેલેથી જ અનન્ય છે.

તમે ગમે તે માર્ગ પસંદ કરો, લૉગિન નહીં, સંચાલન મૉડલનું પરીક્ષણ કરો. બંને ઉપકરણો જોડો, ખાતરી કરો કે તેમનાં સરનામાં અલગ છે, પછી ખોટનું અનુકરણ કરો અને તપાસો કે તમે તેમાંથી બરાબર એક દૂર કરી શકો છો. openvpn(8) મેન્યુઅલ વિકલ્પનો વ્યાપ નક્કી કરે છે; તમારી દૂર કરવાની પ્રક્રિયા નક્કી કરે છે કે વહેંચવું ખરેખર સ્વીકાર્ય છે કે નહીં.