Tvö tæki, eitt OpenVPN-skilríki: endurtengingarlykkjan

Göng sem koma upp og endurræsa svo á hálfri mínútu fresti eru yfirleitt ekki dulritunar- eða MTU-vandamál. Þetta er ein auðkenni sem notuð eru tvisvar. Þjónninn sér kunnuglegt sameiginlegt nafn, tekur nýju lotuna sem þá nýjustu, og eldra tækið uppgötvar að því hefur verið skipt út. Frá hlið biðlarans lítur þetta út eins og tímanaut óvirkni og endurræsing, og þess vegna hefst rannsóknin svo oft á röngum stað.

Byrjaðu á endurræsingarbilinu

Bilið er vísbending á undan öllu öðru. Jafn taktur sem passar við ping-restart-gluggann bendir til lotu sem verið er að skipta út frekar en slóðar sem bregst, því slóðarbilanir eru sjaldan svona reglulegar. Skrifaðu niður nákvæma bilið milli endurræsinga og ástæðulínuna í annál biðlarans. Tímanaut sem fylgt er af endurræsingu segir aðra sögu en misheppnuð handaband.

Athugaðu hvenær endurræsingarnar hófust miðað við annað tæki. Ný ferðatölva, sími eða snið sem afritað var á varavél eru venjulegu kveikjurnar, og tíminn passar yfirleitt við daginn sem einhver setti það upp.

Skrifaðu niður bilið og ástæðuna. Bæði eru sönnunargögn, og bæði er ódýrt að safna.

Lestu hvað þjónninn sagði um seinni innskráninguna

Á þjóni sem þú stjórnar nefnir annállinn sameiginlega nafnið og sýnir aðra tengingu berast. Án duplicate-cn kemur sú koma í stað núverandi lotu fyrir sama nafn, og skilaboðin segja það yfirleitt berum orðum. Með duplicate-cn lifa báðar loturnar saman og einkennið breytist: biðlararnir eru uppi en deila einum stillingasetti á biðlara og einni afturköllunarákvörðun. Lestu færslurnar tvær saman, því skiptingin sést aðeins í röð.

Hjá hýstri þjónustu hefur þú kannski engan þjónaannál. Vísbendingin er þá tímasetning: stöðug göng sem falla í hvert sinn sem önnur vél tengist, og ekkert í annál biðlarans fram yfir tímanautið.

Berðu saman skilríkja- og lyklablokkir í báðum sniðum, ekki bara nafn fjartengda hýsilsins. Afrituð snið eru yfirleitt aðeins frábrugðin að skráarnafni.

Aðskildu auðkennið á þjónahliðinni

Gefðu út eitt skilríki fyrir hvert tæki gegnum þá CA sem undirritar fyrir þennan þjón. Með Easy-RSA þýðir það sér nafn biðlara fyrir hvert tæki, og sniðið er svo byggt úr því skilríki og lykli þess. Sameiginlega nafnið verður auðkenni tækisins, og það er einmitt það sem þjóninum vantaði. Nefndu þau eftir tækinu frekar en manneskjunni, svo skipti skili nýju nafni.

Sameiginlegi lykill stjórnrásarinnar er aðskilinn hlutur. tls-crypt eða tls-auth verndar stjórnrásina fyrir hvern biðlara og er ætlaður til að deila. Hann er ekki auðkenni biðlara, og að skipta honum út lagar ekki tvítekið skilríki.

Haltu skilríkinu, lyklinum og hverri stillingarskrá biðlara undir sama sameiginlega nafninu, annars brotnar vörpunin við næstu tengingu. Misræmi þar skapar biðlara sem auðkennir sig og fær svo ekkert.

Haltu vistföngum og stillingum samstilltum eftir skiptinguna

Föst vistföng koma með aðra leið til árekstra. Ef þjónninn úthlutar þeim gegnum ifconfig-pool-persist eða skrá fyrir hvern biðlara, benda þær færslur enn á gamla nafnið. Tvö tæki geta endað með sama gönguvistfang jafnvel eftir að skilríkin hafa verið aðskilin, og sú bilun lítur öðruvísi út en upprunalega lykkjan.

Uppfærðu vörpunina samtímis skilríkinu, endurtengdu svo bæði tækin og berðu saman úthlutuð vistföng. Tvítekið vistfang birtist sem slitrótt tap frekar en hrein endurtenging.

Sendu stillingar sem eiga að vera mismunandi eftir tækjum í gegnum eigin skrá þess tækis, ekki gegnum sameiginlegt sniðmát. Sameiginlegt sniðmát gerir líka næsta tvíteka erfiðara að koma auga á.

Felltu gamla auðkennið úr notkun almennilega

Afturkallaðu skilríkið þegar vélbúnaði er fleygt eða hann vantar, í stað þess að eyða sniðinu af gömlu vélinni. Afturköllun framleiðir nýja CRL, og þjónninn þarf þá skrá þar sem crl-verify bendir. Með þá tilskipun á sínum stað veldur skrá sem vantar eða er ólæsileg að þjónninn hafnar hverjum biðlara, svo prófaðu eitt þekkt notandareikning eftir hverja uppfærslu.

Haltu birgðaskrá sem bindur hvert skilríki við manneskju eða tæki, með útgáfu- og afturköllunardagsetningum. Sú skrá svarar því hver hefur enn aðgang án þess að lesa skráarnöfn, og hún kemur í veg fyrir að næsta afritaða snið hefji lykkjuna á ný.