Dua perangkat, satu sertifikat OpenVPN: lingkar sambung ulang

Terowongan yang naik lalu memulai ulang tiap setengah menit biasanya bukan masalah cipher atau MTU. Itu satu identitas yang dipakai dua kali. Server melihat nama umum yang dikenalnya, menganggap sesi baru sebagai yang terbaru, dan perangkat lama mendapati dirinya telah digantikan. Dari sisi klien itu tampak seperti batas waktu tidak aktif lalu mulai ulang, dan itulah sebabnya penyelidikan begitu sering dimulai di tempat yang salah.

Mulai dari selang waktu mulai ulang

Selang waktu adalah petunjuk sebelum apa pun yang lain. Irama tetap yang cocok dengan jendela ping-restart menunjuk pada sesi yang digantikan, bukan jalur yang gagal, karena kegagalan jalur jarang begitu teratur. Catat jarak tepat antar mulai ulang dan baris alasan di log klien. Batas waktu yang diikuti mulai ulang bercerita lain daripada jabat tangan yang gagal.

Periksa kapan mulai ulang dimulai dibandingkan dengan perangkat kedua. Laptop baru, ponsel, atau profil yang disalin ke mesin cadangan adalah pemicu yang biasa, dan waktunya biasanya cocok dengan hari seseorang memasangnya.

Tuliskan selang waktu dan alasannya. Keduanya bukti, dan keduanya murah dikumpulkan.

Baca apa yang dikatakan server tentang login kedua

Di server yang Anda kendalikan, log menyebut nama umum dan menunjukkan koneksi kedua yang datang. Tanpa duplicate-cn, kedatangan itu menggantikan sesi yang ada untuk nama yang sama, dan pesannya biasanya mengatakan itu terus terang. Dengan duplicate-cn, kedua sesi hidup bersama dan gejalanya berubah: klien tetap aktif tetapi berbagi satu set pengaturan per klien dan satu keputusan pencabutan. Baca kedua entri bersama, karena penggantian hanya terlihat dalam urutan.

Pada layanan terkelola Anda mungkin tidak punya log server sama sekali. Petunjuknya lalu waktu: terowongan stabil yang putus setiap kali mesin lain tersambung, tanpa apa pun di log klien selain batas waktu.

Bandingkan blok sertifikat dan kunci di kedua profil, bukan hanya nama host jauh. Profil hasil salinan biasanya hanya berbeda pada nama berkas.

Pisahkan identitas di sisi server

Terbitkan satu sertifikat per perangkat melalui CA yang menandatangani untuk server ini. Dengan Easy-RSA itu berarti nama klien terpisah untuk tiap perangkat, dan profil lalu dibangun dari sertifikat itu beserta kuncinya. Nama umum menjadi identitas perangkat, dan itulah tepatnya yang kurang pada server. Beri nama menurut perangkat, bukan orang, agar penggantian menghasilkan nama baru.

Kunci kanal kendali bersama adalah hal terpisah. tls-crypt atau tls-auth melindungi kanal kendali tiap klien dan memang untuk dibagi. Itu bukan identitas klien, dan menggantinya tidak akan memperbaiki sertifikat ganda.

Simpan sertifikat, kunci, dan setiap berkas konfigurasi per klien dengan nama umum yang sama, kalau tidak pemetaannya patah pada sambungan berikutnya. Ketidakcocokan di sana menghasilkan klien yang lolos autentikasi lalu tidak menerima apa pun.

Jaga alamat dan pengaturan tetap selaras setelah pemisahan

Alamat tetap menghadirkan cara kedua untuk bertabrakan. Jika server memberikannya lewat ifconfig-pool-persist atau berkas per klien, catatan itu masih menunjuk nama lama. Dua perangkat bisa berakhir dengan alamat terowongan yang sama meski sertifikatnya sudah dipisah, dan kegagalan itu tampak berbeda dari lingkar semula.

Perbarui pemetaan bersamaan dengan sertifikat, lalu sambungkan ulang kedua perangkat dan bandingkan alamat yang diberikan. Alamat ganda muncul sebagai kehilangan berselang, bukan sambung ulang yang bersih.

Kirim pengaturan yang seharusnya berbeda per perangkat lewat berkas perangkat itu sendiri, bukan lewat templat bersama. Templat bersama juga membuat duplikat berikutnya lebih sulit dikenali.

Pensiunkan identitas lama dengan benar

Cabut sertifikat ketika perangkat keras dipensiunkan atau hilang, bukan menghapus profil dari mesin lama. Pencabutan menghasilkan CRL baru, dan server membutuhkan berkas itu di tempat crl-verify menunjuk. Dengan direktif itu terpasang, CRL yang hilang atau tak terbaca membuat server menolak setiap klien, jadi uji satu akun yang dikenal setelah tiap pembaruan.

Simpan inventaris yang mengaitkan tiap sertifikat dengan orang atau perangkat, beserta tanggal terbit dan pencabutan. Inventaris itu menjawab siapa yang masih punya akses tanpa membaca nama berkas, dan mencegah profil tersalin berikutnya memulai lagi lingkarnya.