duplicate-cn gefur tveimur tækjum eina auðkenni, ekki tvær

Afritaðu sniðið á spjaldtölvuna, tengdu, og fartölvan dettur út. Bættu við duplicate-cn, bæði vera tengd, og vandamálið virðist leyst þar til tækin tvö slást um sama gönguvistfangið eða týnd spjaldtölva tekur allan reikninginn af neti. Valkosturinn breytir einu og aðeins einu: hvort þjónninn leyfir aðra lotu undir nafni sem hann hefur þegar séð. Allt sem fólk væntir þess að hann lagaði, frá sjálfstæði tækja yfir vistföng á hvert tæki til sértækrar afturköllunar, er enn gert með auðkenni, og auðkennið hér er vottorðið.

Goðsögnin: önnur lota er annað auðkenni

Innsæið segir að tvær tengingar hljóti að vera tveir biðlar, og tveir biðlar eigi að vera tvö tæki með eigin réttindi. Þjónninn líkanar það ekki þannig. Hann sér sameiginlegt nafn, og þegar duplicate-cn er virkt tekur hann við fleiri en einni lifandi lotu sem ber það nafn, og hver fær sitt eigið lotuástand í daemonnum.

Ekkert í þeirri viðtöku snertir vottorðssannprófun. Sama vottorðið er enn skírteinið, sami lykillinn er enn einkalykillinn, og hver stefna sem byggir á viðfangi vottorðsins leysist enn tvisvar í sama gildi. Önnur lota er annar socket, ekki annað auðkenni.

Sá munur er ósýnilegur á meðan allt virkar. Hann verður mjög sýnilegur á þeirri stundu sem þú þarft að greina tækin tvö í sundur, og það er venjulega sá dagur sem annað þeirra týnist.

Hvað breytist í raun þegar tvær lotur deila nafni

Án valkostsins þrýstir ný tenging undir sameiginlegu nafni sem er þegar tengt fyrri lotunni út. Þess vegna dettur fartölvan út þegar spjaldtölvan tengist, og það er viljandi vörn gegn tvíræðni, ekki galli. Með valkostinum haldast báðar lotur lifandi og þjónninn fylgist með þeim aðskildum eftir lotu, ekki eftir tæki.

Hver lota fær enn sína eigin ytri tengingu og sína eigin samningsbundnu lykla, svo samtímis gegnumstreymi er sannarlega samtímis. Það sem þær deila er allt sem leitt er af skírteininu: stefnuleitir, stillingar sem eru sérstakar fyrir biðil, auðkenni í annálum og afturköllun. Lotuástand tilheyrir tengingunni og deyr með henni, á meðan staðreyndir á skírteinisstigi vara fyrir báðum. Þess vegna getur stöðuúttakið listað sama nafnið tvisvar á meðan teljararnir haldast aðskildir.

Staðfestu hvað byggingin þín gerir í raun áður en þú hannar út frá því, því áhrif valkostsins ráðast af valkostinum sjálfum en ekki þjóðsögum:

grep -n 'duplicate-cn\|client-config-dir\|username-as-common-name' /etc/openvpn/server.conf

Fasta vistfangið sem þú héldir að þú hefðir úthlutað

Stillingar fyrir hvern biðil eru flett upp eftir nafni, og þar er gildran. Skrá client-config-dir sem heitir eftir sameiginlega nafninu gildir fyrir hvert tæki sem notar það nafn, svo ifconfig-push inni í henni gefur báðum tækjunum sama gönguvistfang. Önnur lotan annaðhvort kemst ekki upp eða rekst saman á þann hátt að það lítur út eins og leiðarvilla.

Kvika laugin hagar sér betur fyrir tilviljun, því hverri lotu er úthlutað vistfangi úr lauginni óháð. Það gefur þér samt ekki stöðugt vistfang á hvert tæki, og alls ekki stefnu á hvert tæki sem er bundin því vistfangi.

Ef uppsetningin notar username-as-common-name verður flettilykillinn sannvottaða notandanafnið í stað viðfangs vottorðsins, og sama áreksturinn fylgir hverjum þeim sem skráir sig inn tvisvar. Nafnið sem stýrir stillingunum verður að vera einstakt fyrir hvert tæki svo stillingar á hvert tæki þýði eitthvað.

Hvað sameiginlegt auðkenni getur ekki gert við fjarlægingu

Afturköllun virkar á vottorðið, ekki á sýnda nafnið og ekki á lotuna. Afturkallaðu það vottorð og hvert tæki sem geymir eintak missir aðgang í einu, þar með talið það á skrifstofunni sem enginn vill trufla. Haltu því og týnda tækið heldur áfram að virka, því ekkert í samskiptareglunum greinir það frá samþykktu eintakinu.

Annálarnir erfa sömu tvíræðni. Stöðuúttakið sýnir sameiginlegt nafn og raunverulegt vistfang, og hvort tveggja getur tilheyrt hvoru tækinu sem er. Atvikayfirferð sem þarf að vita hvaða vél gerði hvað getur ekki svarað þeirri spurningu úr eigin skrám VPN-sins, hversu miklum smáatriðum sem annálastigið veitir.

Það er engin dulritunarleið fram hjá þessu. Tvö tæki sem leggja fram sama vottorð eru, fyrir þjóninn, sami þátttakandinn tvisvar, og hvaða fyrirkomulag sem heldur öðru fram er nafnahefð en ekki stýring.

Hvenær sameiginleg notkun er rétt, og hvernig á að takmarka hana

Sameiginleg notkun á sér lögmæta notkun: rannsóknarstofureikning sem nokkrar prófunarvélar nota, eða heimili þar sem tækjunum er stjórnað saman og nákvæmni afturköllunar skiptir ekki máli. Í þeim tilvikum skaltu virkja valkostinn viljandi, halda sameiginlega skírteininu utan við stefnu á hvert tæki, og gefa lauginni rými svo lotur geti ekki rekist á vistfang.

Fyrir allt sem þarf aðskilin vistföng, aðskilda annála eða aðskilda fjarlægingu skaltu gefa út aðskilin vottorð eftir venjulegri skráningarleið. Það gefur hverju niðurstreymiskerfi sérstakan hlut til að byggja á, og valkosturinn hættir að skipta máli því nöfnin eru þegar einstök.

Hvaða leið sem þú velur, prófaðu stjórnunarlíkanið en ekki innskráninguna. Tengdu bæði tækin, staðfestu að þau hafi mismunandi vistföng, hermdu svo eftir tapi og athugaðu að þú getir fjarlægt nákvæmlega annað þeirra. Handbókin openvpn(8) skilgreinir umfang valkostsins; fjarlægingarferlið þitt skilgreinir hvort sameiginleg notkun sé í raun ásættanleg.