Երկու սարք, մեկ OpenVPN վկայական՝ վերամիացման օղակը

Կես րոպեն մեկ բարձրացող և հետո վերագործարկվող թունելը սովորաբար ծածկագրման կամ MTU-ի խնդիր չէ։ Դա մեկ ինքնություն է, որն օգտագործվում է երկու անգամ։ Սերվերը տեսնում է ծանոթ ընդհանուր անուն, նոր սեսիան ընդունում է որպես ամենանոր, և ավելի հին սարքը հայտնաբերում է, որ փոխարինվել է։ Կլիենտի կողմից դա նման է անգործության ժամկետի լրանալու և վերագործարկման, և դրա համար է, որ հետաքննությունը այդքան հաճախ սկսվում է սխալ տեղից։

Սկսեք վերագործարկման միջակայքից

Միջակայքը ակնարկ է ամեն ինչից առաջ։ ping-restart պատուհանին համապատասխանող հավասար ռիթմը մատնանշում է փոխարինվող սեսիա, ոչ թե խափանված ուղի, որովհետև ուղու խափանումները հազվադեպ են այդքան կանոնավոր։ Գրանցեք վերագործարկումների միջև եղած ճշգրիտ բացը և պատճառի տողը կլիենտի մատյանում։ Ժամկետի լրանալուն հաջորդող վերագործարկումը այլ պատմություն է պատմում, քան ձախողված ձեռքսեղմումը։

Ստուգեք, թե երբ սկսվեցին վերագործարկումները երկրորդ սարքի համեմատ։ Նոր նոութբուքը, հեռախոսը կամ պահեստային մեքենայի վրա պատճենված պրոֆիլը սովորական պատճառներն են, և ժամանակը սովորաբար համընկնում է այն օրվա հետ, երբ ինչ-որ մեկը տեղադրել է այն։

Գրեք միջակայքը և պատճառը։ Երկուսն էլ ապացույց են, և երկուսն էլ էժան են հավաքվում։

Կարդացեք, թե ինչ ասաց սերվերը երկրորդ մուտքի մասին

Ձեր վերահսկած սերվերում մատյանը նշում է ընդհանուր անունը և ցույց է տալիս երկրորդ միացում, որը ժամանում է։ Առանց duplicate-cn-ի այդ ժամանումը փոխարինում է նույն անվան գոյություն ունեցող սեսիան, և հաղորդագրությունը սովորաբար դա ուղղակիորեն ասում է։ duplicate-cn-ի դեպքում երկու սեսիաները գոյակցում են, և ախտանիշը փոխվում է՝ կլիենտները մնում են միացած, բայց կիսում են մեկ կարգավորումների հավաքածու յուրաքանչյուր կլիենտի համար և մեկ չեղարկման որոշում։ Կարդացեք երկու գրառումները միասին, որովհետև փոխարինումը տեսանելի է միայն հաջորդականությամբ։

Հոսթինգային ծառայությունում կարող է սերվերի մատյան ընդհանրապես չլինել։ Այդ դեպքում ակնարկը ժամանակն է՝ կայուն թունել, որը ընկնում է ամեն անգամ, երբ միանում է այլ մեքենա, և կլիենտի մատյանում ոչինչ բացի ժամկետի լրացումից։

Համեմատեք վկայականի և բանալու բլոկները երկու պրոֆիլներում, ոչ միայն հեռավոր հոսթի անունը։ Պատճենված պրոֆիլները սովորաբար տարբերվում են միայն ֆայլի անունով։

Առանձնացրեք ինքնությունը սերվերի կողմից

Տրամադրեք մեկ վկայական յուրաքանչյուր սարքի համար այն CA-ի միջոցով, որը ստորագրում է այս սերվերի համար։ Easy-RSA-ի դեպքում դա նշանակում է առանձին կլիենտական անուն յուրաքանչյուր սարքի համար, և պրոֆիլը հետո կառուցվում է այդ վկայականից և դրա բանալուց։ Ընդհանուր անունը դառնում է սարքի ինքնությունը, և դա հենց այն է, ինչ պակասում էր սերվերին։ Անվանեք դրանք սարքի, ոչ թե մարդու անունով, որպեսզի փոխարինումը նոր անուն ստեղծի։

Ընդհանուր հսկիչ-ալիքի բանալին առանձին բան է։ tls-crypt կամ tls-auth պաշտպանում է հսկիչ ալիքը յուրաքանչյուր կլիենտի համար և նախատեսված է կիսման համար։ Այն կլիենտի ինքնություն չէ, և դրա փոխարինումը չի ուղղի կրկնօրինակված վկայականը։

Պահեք վկայականը, բանալին և յուրաքանչյուր կլիենտային կարգավորության ֆայլը նույն ընդհանուր անվան տակ, հակառակ դեպքում քարտեզագրումը կկոտրվի հաջորդ միացման ժամանակ։ Այնտեղ անհամապատասխանությունը ստեղծում է կլիենտ, որը նույնականացվում է և հետո ոչինչ չի ստանում։

Բաժանումից հետո պահեք հասցեներն ու կարգավորումները համահունչ

Հաստատուն հասցեները բախման երկրորդ եղանակ են մտցնում։ Եթե սերվերը դրանք տալիս է ifconfig-pool-persist-ի կամ կլիենտային ֆայլի միջոցով, այդ գրառումները դեռ ցույց են տալիս հին անվանը։ Երկու սարք կարող են ստանալ նույն թունելի հասցեն նույնիսկ վկայականները բաժանելուց հետո, և այդ խափանումը տարբերվում է սկզբնական օղակից։

Թարմացրեք քարտեզագրումը վկայականի հետ միաժամանակ, ապա նորից միացրեք երկու սարքը և համեմատեք նրանց տրված հասցեները։ Կրկնօրինակ հասցեն ի հայտ է գալիս որպես ընդհատվող կորուստ, ոչ թե մաքուր վերամիացում։

Ուղարկեք այն կարգավորումները, որոնք պետք է տարբերվեն սարքից սարք, տվյալ սարքի սեփական ֆայլով, ոչ թե ընդհանուր ձևանմուշով։ Ընդհանուր ձևանմուշը նաև դժվարացնում է հաջորդ կրկնօրինակի նկատումը։

Պատշաճ կերպով դուրս բերեք հին ինքնությունը

Չեղարկեք վկայականը, երբ սարքավորումը դուրս է բերվում կամ կորչում է, փոխարենը ջնջելու պրոֆիլը հին մեքենայից։ Չեղարկումը ստեղծում է նոր CRL, և սերվերին այդ ֆայլը պետք է այնտեղ, ուր ցույց է տալիս crl-verify-ը։ Այդ հրահանգի առկայությամբ բացակայող կամ անընթեռնելի CRL-ը ստիպում է սերվերին մերժել յուրաքանչյուր կլիենտ, ուստի յուրաքանչյուր թարմացումից հետո փորձարկեք մեկ հայտնի հաշիվ։

Պահեք գույքագրում, որը յուրաքանչյուր վկայական կապում է մարդու կամ սարքի հետ՝ տրամադրման և չեղարկման ամսաթվերով։ Այդ գույքագրումը պատասխանում է, թե ով դեռ հասանելիություն ունի՝ առանց ֆայլերի անունները կարդալու, և թույլ չի տալիս հաջորդ պատճենված պրոֆիլին նորից սկսել օղակը։