Екі құрылғы, бір OpenVPN сертификаты: қайта қосылу циклі

Әр жарты минут сайын көтеріліп, қайта іске қосылатын туннель әдетте шифр немесе MTU мәселесі емес. Бұл екі рет қолданылған бір сәйкестік. Сервер таныс ортақ атауды көреді, жаңа сессияны ең соңғысы ретінде қабылдайды, ал ескі құрылғы өзінің алмастырылғанын байқайды. Клиент жағынан бұл әрекетсіздік тайм-ауты мен қайта іске қосу сияқты көрінеді, сондықтан тергеу соншалық жиі дұрыс емес жерден басталады.

Қайта іске қосу аралығынан бастаңыз

Аралық кез келген нәрседен бұрын белгі болып табылады. ping-restart терезесіне сәйкес келетін біркелкі ырғақ ауыстырылып жатқан сессияны көрсетеді, бұзылған жолды емес, өйткені жол ақаулары сирек осынша тұрақты болады. Қайта іске қосулар арасындағы нақты аралықты және клиент журналындағы себеп жолын жазып алыңыз. Тайм-ауттан кейінгі қайта іске қосу сәтсіз қол алысудан басқа әңгіме айтады.

Қайта іске қосулар екінші құрылғыға қатысты қашан басталғанын тексеріңіз. Жаңа ноутбук, телефон немесе қосалқы машинаға көшірілген профиль әдеттегі себептер, және уақыт әдетте біреу оны орнатқан күнге сәйкес келеді.

Аралықты және себебін жазыңыз. Екеуі де дәлел, және екеуін де жинау арзан.

Сервер екінші кіру туралы не дегенін оқыңыз

Өзіңіз басқаратын серверде журнал ортақ атауды атайды және екінші қосылымның келе жатқанын көрсетеді. duplicate-cn жоқ болса, бұл келу сол аттың бар сессиясын алмастырады, және хабарлама әдетте мұны ашық айтады. duplicate-cn бар болса, екі сессия қатар өмір сүреді және симптом өзгереді: клиенттер қосылып тұрады, бірақ әр клиентке бір параметрлер жиынтығы мен бір кері қайтару шешімін бөліседі. Екі жазбаны бірге оқыңыз, өйткені алмастыру тек реттілікте көрінеді.

Хостинг қызметінде сервер журналы мүлдем болмауы мүмкін. Сонда белгі — уақыт: басқа машина қосылған сайын құлайтын тұрақты туннель, ал клиент журналында тайм-ауттан басқа ештеңе жоқ.

Тек алыс хост атауын емес, екі профильдегі сертификат пен кілт блоктарын салыстырыңыз. Көшірілген профильдер әдетте тек файл атауымен ерекшеленеді.

Сәйкестікті сервер жағында бөліңіз

Осы сервер үшін қол қоятын CA арқылы әр құрылғыға бір сертификат беріңіз. Easy-RSA кезінде бұл әр құрылғыға жеке клиент атауын білдіреді, содан кейін профиль сол сертификат пен оның кілтінен құрылады. Ортақ атау құрылғының сәйкестігіне айналады, және бұл серверге дәл жетіспейтін нәрсе еді. Оларды адамның емес, құрылғының атымен атаңыз, сонда алмастыру жаңа ат тудырады.

Ортақ басқару арнасының кілті — бөлек нәрсе. tls-crypt немесе tls-auth әр клиенттің басқару арнасын қорғайды және бөлісуге арналған. Ол клиент сәйкестігі емес, және оны алмастыру қайталанған сертификатты түзетпейді.

Сертификатты, кілтті және әр клиенттің конфигурация файлын бір ортақ атау астында ұстаңыз, әйтпесе келесі қосылымда сәйкестендіру бұзылады. Ондағы сәйкессіздік аутентификациядан өтіп, сосын ештеңе алмайтын клиент жасайды.

Бөлуден кейін мекенжайлар мен параметрлерді үйлесімді ұстаңыз

Тұрақты мекенжайлар соқтығысудың екінші жолын әкеледі. Егер сервер оларды ifconfig-pool-persist немесе клиенттік файл арқылы тағайындаса, сол жазбалар әлі ескі атқа сілтейді. Сертификаттар бөлінгеннен кейін де екі құрылғы бір туннель мекенжайын алуы мүмкін, және бұл ақау бастапқы циклге ұқсамайды.

Сәйкестендіруді сертификатпен бір уақытта жаңартыңыз, содан кейін екі құрылғыны қайта қосып, оларға берілген мекенжайларды салыстырыңыз. Қайталанған мекенжай таза қайта қосылу емес, үзілісті жоғалту ретінде көрінеді.

Әр құрылғыға өзгеше болуы тиіс параметрлерді сол құрылғының өз файлы арқылы жіберіңіз, ортақ үлгі арқылы емес. Ортақ үлгі келесі қайталауды байқауды да қиындатады.

Ескі сәйкестікті лайықты түрде тоқтатыңыз

Аппараттық қамтамасыз ету тоқтатылғанда немесе жоғалғанда профильді ескі машинадан жоюдың орнына сертификатты кері қайтарыңыз. Кері қайтару жаңа CRL жасайды, және серверге сол файл crl-verify сілтейтін жерде қажет. Осы директива орнында болғанда, жоқ немесе оқылмайтын CRL серверді әр клиенттен бас тартуға мәжбүр етеді, сондықтан әр жаңартудан кейін бір белгілі тіркелгіні тексеріңіз.

Әр сертификатты адамға немесе құрылғыға байланыстыратын, берілу және кері қайтару күндері бар тізімді жүргізіңіз. Бұл тізім файл атауларын оқымай-ақ кімнің әлі рұқсаты бар екенін жауап береді және келесі көшірілген профильдің циклді қайта бастауына жол бермейді.