ორი მოწყობილობა, ერთი OpenVPN სერტიფიკატი: ხელახალი დაკავშირების ციკლი

ტუნელი, რომელიც ადის და შემდეგ ყოველ ნახევარ წუთში ხელახლა იწყება, ჩვეულებრივ არ არის შიფრის ან MTU-ის პრობლემა. ეს არის ერთი იდენტობა, რომელიც ორჯერ გამოიყენება. სერვერი ხედავს ნაცნობ საერთო სახელს, ახალ სესიას უახლესად იღებს, და ძველი მოწყობილობა აღმოაჩენს, რომ ის შეიცვალა. კლიენტის მხრიდან ეს უმოქმედობის ვადის გასვლად და გადატვირთვად გამოიყურება, ამიტომ გამოძიება ასე ხშირად იწყება არასწორ ადგილას.

დაიწყეთ გადატვირთვის ინტერვალიდან

ინტერვალი ნიშანია ყველაფერზე ადრე. ping-restart ფანჯარასთან შესაბამისი თანაბარი რიტმი ცვლად სესიაზე მიუთითებს და არა გატეხილ გზაზე, რადგან გზის ხარვეზები იშვიათად არის ასე რეგულარული. ჩაწერეთ გადატვირთვებს შორის ზუსტი შუალედი და მიზეზის ხაზი კლიენტის ჟურნალში. ვადის გასვლას მოჰყვება გადატვირთვა სხვა ამბავს ჰყვება, ვიდრე წარუმატებელი ხელის ჩამორთმევა.

შეამოწმეთ, როდის დაიწყო გადატვირთვები მეორე მოწყობილობის მიმართ. ახალი ლეპტოპი, ტელეფონი ან სარეზერვო მანქანაზე კოპირებული პროფილი ჩვეულებრივი გამომწვევებია, და დრო ჩვეულებრივ ემთხვევა იმ დღეს, როცა ვინმემ ის დააყენა.

ჩაწერეთ ინტერვალი და მიზეზი. ორივე მტკიცებულებაა და ორივეს შეგროვება იაფია.

წაიკითხეთ, რა თქვა სერვერმა მეორე შესვლაზე

თქვენ მიერ კონტროლირებულ სერვერზე ჟურნალი ასახელებს საერთო სახელს და აჩვენებს მეორე კავშირის მოსვლას. duplicate-cn-ის გარეშე ეს მოსვლა იმავე სახელის არსებულ სესიას ანაცვლებს და შეტყობინება ჩვეულებრივ პირდაპირ ამბობს ამას. duplicate-cn-ით ორივე სესია თანაარსებობს და სიმპტომი იცვლება: კლიენტები ჩართული რჩებიან, მაგრამ იზიარებენ კლიენტზე ერთ პარამეტრთა ნაკრებს და ერთ გაუქმების გადაწყვეტილებას. წაიკითხეთ ორივე ჩანაწერი ერთად, რადგან ჩანაცვლება მხოლოდ თანმიმდევრობაში ჩანს.

ჰოსტინგის სერვისზე შეიძლება სერვერის ჟურნალი საერთოდ არ გქონდეთ. მაშინ ნიშანი დროა: სტაბილური ტუნელი, რომელიც ყოველ ჯერზე ვარდება, როცა სხვა მანქანა უერთდება, და კლიენტის ჟურნალში ვადის გასვლის გარდა არაფერი.

შეადარეთ სერტიფიკატისა და გასაღების ბლოკები ორივე პროფილში და არა მხოლოდ დისტანციური ჰოსტის სახელი. კოპირებული პროფილები ჩვეულებრივ მხოლოდ ფაილის სახელით განსხვავდება.

გაყავით იდენტობა სერვერის მხარეს

გასცეთ ერთი სერტიფიკატი თითო მოწყობილობაზე იმ CA-ის მეშვეობით, რომელიც ამ სერვერისთვის ხელს აწერს. Easy-RSA-ით ეს ნიშნავს ცალკე კლიენტის სახელს თითო მოწყობილობაზე, და პროფილი შემდეგ ამ სერტიფიკატისა და მისი გასაღებისგან იგება. საერთო სახელი მოწყობილობის იდენტობა ხდება და სწორედ ეს აკლდა სერვერს. დაარქვით ისინი მოწყობილობის და არა ადამიანის სახელით, რომ ჩანაცვლებამ ახალი სახელი წარმოქმნას.

საზიარო მართვის არხის გასაღები ცალკე რამაა. tls-crypt ან tls-auth იცავს მართვის არხს თითოეული კლიენტისთვის და გაზიარებისთვისაა განკუთვნილი. ის კლიენტის იდენტობა არ არის, და მისი შეცვლა გაორმაგებულ სერტიფიკატს არ გაასწორებს.

შეინახეთ სერტიფიკატი, გასაღები და ყოველი კლიენტული კონფიგურაციის ფაილი ერთი და იმავე საერთო სახელის ქვეშ, თორემ შემდეგ კავშირზე დაკავშირება გატყდება. იქ არსებული შეუსაბამობა ქმნის კლიენტს, რომელიც ავთენტიფიცირდება და შემდეგ ვერაფერს იღებს.

გაყოფის შემდეგ მისამართები და პარამეტრები შეთანხმებულად შეინახეთ

ფიქსირებული მისამართები შეჯახების მეორე გზას ქმნის. თუ სერვერი მათ ifconfig-pool-persist-ის ან კლიენტული ფაილის მეშვეობით ანიჭებს, ეს ჩანაწერები ჯერ კიდევ ძველ სახელზე მიუთითებს. ორი მოწყობილობა შეიძლება ერთსა და იმავე ტუნელის მისამართზე აღმოჩნდეს სერტიფიკატების გაყოფის შემდეგაც, და ეს ხარვეზი თავდაპირველი ციკლისგან განსხვავებულად გამოიყურება.

განაახლეთ დაკავშირება სერტიფიკატთან ერთად, შემდეგ ხელახლა დაუკავშირეთ ორივე მოწყობილობა და შეადარეთ მათთვის მინიჭებული მისამართები. გაორმაგებული მისამართი წყვეტილი დანაკარგის სახით ჩნდება და არა როგორც სუფთა ხელახალი დაკავშირება.

მოწყობილობაზე განსხვავებული პარამეტრები გაუგზავნეთ იმ მოწყობილობის საკუთარი ფაილით და არა საზიარო შაბლონით. საზიარო შაბლონი შემდეგი დუბლიკატის შემჩნევასაც ართულებს.

ჯეროვნად გააუქმეთ ძველი იდენტობა

გააუქმეთ სერტიფიკატი, როცა აპარატურა იხსნება ან იკარგება, ნაცვლად იმისა, რომ პროფილი ძველი მანქანიდან წაშალოთ. გაუქმება ახალ CRL-ს ქმნის და სერვერს ის ფაილი სჭირდება იქ, სადაც crl-verify მიუთითებს. ამ დირექტივის არსებობისას დაკარგული ან წაუკითხავი CRL აიძულებს სერვერს ყველა კლიენტი უარყოს, ამიტომ ყოველი განახლების შემდეგ შეამოწმეთ ერთი ცნობილი ანგარიში.

აწარმოეთ ინვენტარი, რომელიც ყოველ სერტიფიკატს პირს ან მოწყობილობას უკავშირებს, გაცემისა და გაუქმების თარიღებით. ეს ინვენტარი პასუხობს, ვის ჯერ კიდევ აქვს წვდომა, ფაილების სახელების წაკითხვის გარეშე, და ხელს უშლის შემდეგ კოპირებულ პროფილს ციკლის ხელახლა დაწყებაში.