Dva uređaja, jedan OpenVPN certifikat: petlja ponovnog spajanja

Tunel koji se podigne i zatim restartira svakih pola minute obično nije problem šifre ni MTU-a. To je jedan identitet koji se koristi dvaput. Poslužitelj vidi poznato uobičajeno ime, prihvaća novu sesiju kao najnoviju, a stariji uređaj otkrije da je zamijenjen. S klijentske strane to izgleda kao istek neaktivnosti i restart, zato istraga tako često počinje na pogrešnom mjestu.

Pođite od intervala restarta

Interval je trag prije svega drugoga. Ravnomjeran ritam koji se poklapa s prozorom ping-restart upućuje na zamijenjenu sesiju, a ne na neispravnu putanju, jer kvarovi putanje rijetko su tako pravilni. Zapišite točan razmak između restarta i red s razlogom u klijentskom zapisniku. Istek vremena popraćen restartom priča drugu priču od neuspjelog rukovanja.

Provjerite kada su restartovi počeli u odnosu na drugi uređaj. Novi prijenosnik, telefon ili profil kopiran na rezervni stroj uobičajeni su okidači, a vrijeme se obično poklapa s danom kada ga je netko postavio.

Zapišite interval i razlog. Oboje je dokaz i oboje se jeftino prikuplja.

Pročitajte što je poslužitelj rekao o drugoj prijavi

Na poslužitelju koji kontrolirate zapisnik navodi uobičajeno ime i pokazuje drugu vezu koja dolazi. Bez duplicate-cn ta veza zamjenjuje postojeću sesiju za isto ime, a poruka to obično kaže jasno. S duplicate-cn obje sesije postoje zajedno i simptom se mijenja: klijenti ostaju povezani, ali dijele jedan skup postavki po klijentu i jednu odluku o opozivu. Čitajte dva unosa zajedno, jer je zamjena vidljiva samo u nizu.

Na hostanoj usluzi možda nemate nikakav poslužiteljski zapisnik. Tada je trag vrijeme: stabilan tunel koji pada kad god se poveže drugi stroj, a u klijentskom zapisniku nema ničega osim isteka vremena.

Usporedite blokove certifikata i ključa u oba profila, ne samo ime udaljenog hosta. Kopirani profili obično se razlikuju samo po imenu datoteke.

Razdvojite identitet na strani poslužitelja

Izdajte jedan certifikat po uređaju preko CA koji potpisuje za ovaj poslužitelj. S Easy-RSA to znači zasebno klijentsko ime za svaki uređaj, a profil se zatim gradi od tog certifikata i njegova ključa. Uobičajeno ime postaje identitet uređaja, što je upravo ono što je poslužitelju nedostajalo. Imenujte ih po uređaju, a ne po osobi, da bi zamjena dala novo ime.

Dijeljeni ključ kontrolnog kanala zasebna je stvar. tls-crypt ili tls-auth štiti kontrolni kanal za svakog klijenta i namijenjen je dijeljenju. On nije klijentski identitet, i njegova zamjena neće popraviti dvostruki certifikat.

Držite certifikat, ključ i svaku konfiguracijsku datoteku po klijentu pod istim uobičajenim imenom, inače se mapiranje lomi pri sljedećoj vezi. Nesklad ondje stvara klijenta koji se autentificira i zatim ne prima ništa.

Održavajte adrese i postavke usklađenima nakon podjele

Fiksne adrese uvode drugi način sudara. Ako ih poslužitelj dodjeljuje kroz ifconfig-pool-persist ili datoteku po klijentu, ti zapisi još pokazuju na staro ime. Dva uređaja mogu dobiti istu adresu tunela čak i nakon što su certifikati razdvojeni, a taj kvar izgleda drukčije od izvorne petlje.

Ažurirajte mapiranje istodobno s certifikatom, zatim ponovno povežite oba uređaja i usporedite dodijeljene adrese. Dvostruka adresa pokazuje se kao isprekidan gubitak, a ne kao čisto ponovno spajanje.

Postavke koje se trebaju razlikovati po uređaju šaljite kroz vlastitu datoteku tog uređaja, ne kroz zajednički predložak. Zajednički predložak i sljedeći duplikat čini teže uočljivim.

Povucite stari identitet kako treba

Povucite certifikat kada se hardver ukida ili izgubi, umjesto da brišete profil sa starog stroja. Povlačenje stvara novi CRL, a poslužitelju treba ta datoteka na mjestu na koje pokazuje crl-verify. S tom direktivom na mjestu, nedostajući ili nečitljiv CRL tjera poslužitelj da odbije svakog klijenta, zato testirajte jedan poznati račun nakon svakog ažuriranja.

Vodite inventar koji veže svaki certifikat uz osobu ili uređaj, s datumima izdavanja i povlačenja. Taj inventar odgovara tko još ima pristup bez čitanja imena datoteka i sprječava sljedeći kopirani profil da ponovno pokrene petlju.