duplicate-cn эки түзмөккө бир инсандык берет, эки эмес

Профилди планшетке көчүрүп, туташыңыз — ноутбук түшүп калат. duplicate-cn кошуңуз, экөө тең туташууда калат, жана маселе чечилгендей көрүнөт — эки түзмөк бир эле туннел дареги үчүн талашпайынча же жоголгон планшет бүт аккаунтту тармактан чыгарбайынча. Бул опция бир нерсени жана бир гана нерсени өзгөртөт: сервер мурун көргөн аттын астында экинчи сессияга жол береби. Адамдар анын оңдойт деп күткөн нерселердин баары — түзмөк көз карандысыздыгынан тартып түзмөк боюнча даректөө жана тандамал жокко чыгарууга чейин — дагы эле инсандык аркылуу жүрөт, ал эми инсандык бул жерде сертификат.

Миф: экинчи сессия — экинчи инсандык

Интуиция эки туташуу эки кардар болушу керек, эки кардар болсо өз укуктары бар эки түзмөк болушу керек дейт. Сервер аны андай моделдештирбейт. Ал жалпы атты көрөт, жана duplicate-cn күйгүзүлгөндө ошол атты алып жүргөн бирден ашык тирүү сессияны кабыл алат, ар бири демондо өзүнүн сессия абалын алат.

Бул кабыл алуу сертификатты текшерүүгө такыр тийбейт. Ошол эле сертификат дагы эле ишеним кагазы, ошол эле ачкыч дагы эле жеке ачкыч, жана сертификаттын субъектисине негизделген кандайдыр бир саясат дагы эле эки жолу ошол эле мааниге чечилет. Экинчи сессия — экинчи сокет, экинчи инсандык эмес.

Бул айырма баары иштеп турганда көрүнбөйт. Эки түзмөктү ажыратуу керек болгон учурда ал абдан көрүнөт — жана бул адатта алардын бири жоголгон күн.

Эки сессия бир атты бөлүшкөндө эмне чындап өзгөрөт

Опция жок болсо, мурунтан туташкан жалпы аттын астындагы жаңы туташуу мурунку сессияны сүрүп чыгарат. Планшет туташканда ноутбук түшүп калышынын себеби ушул, жана бул ката эмес, атайын бүдөмүктүккө каршы коргоо. Опция менен экөө тең тирүү калат жана сервер аларды түзмөк боюнча эмес, сессия боюнча өзүнчө көзөмөлдөйт.

Ар бир сессия дагы эле өзүнүн тышкы туташуусун жана өзүнүн сүйлөшүлгөн ачкычын алат, ошондуктан параллелдүү өткөрүү чынында параллелдүү. Алар бөлүшкөн нерсе — ишеним кагазынан келип чыккан баары: саясат издөөлөрү, кардарга тиешелүү конфигурация, журнал инсандыгы жана жокко чыгаруу. Сессия абалы туташууга таандык жана аны менен өлөт, ал эми ишеним кагазы деңгээлиндеги фактылар экөө үчүн тең сакталат. Ошондуктан статус чыгарылышы бир эле атты эки жолу тизмелей алат, эсептегичтер өзүнчө бойдон калат.

Анын үстүндө долбоорлоодон мурун курулушуңуз чындап эмне кыларын текшериңиз, анткени опциянын таасирин опция өзү аныктайт, уламыштар эмес:

grep -n 'duplicate-cn\|client-config-dir\|username-as-common-name' /etc/openvpn/server.conf

Сиз дайындадым деп ойлогон статикалык дарек

Ар бир кардар үчүн конфигурация ат боюнча изденет, жана тузак ошол жерде. Жалпы ат менен аталган client-config-dir файлы ошол атты колдонгон ар бир түзмөккө колдонулат, ошондуктан анын ичиндеги ifconfig-push экөөнө тең бирдей туннел дарегин берет. Экинчи сессия же орнотулбайт, же маршруттоо катасына окшош түрдө кагылышат.

Динамикалык бассейн кокустан жакшыраак иштейт, анткени ар бир сессияга бассейнден дарек көз карандысыз бөлүнөт. Бул дагы эле түзмөк боюнча туруктуу дарек бербейт, жана ал дарекке байланган түзмөк боюнча саясатты такыр бербейт.

Эгер жайылтуу username-as-common-name колдонсо, издөө ачкычы сертификаттын субъектисинин ордуна аутентификацияланган колдонуучу атына айланат, жана эки жолу кирген ар ким үчүн ошол эле кагылышуу кайталанат. Конфигурацияны башкарып турган ат түзмөк боюнча уникалдуу болушу керек, ошондо гана түзмөк боюнча конфигурация мааниге ээ болот.

Бөлүшүлгөн инсандык өчүрүү убагында эмне кыла албайт

Жокко чыгаруу сертификатка таасир этет, көрсөтүлгөн атка да, сессияга да эмес. Ошол сертификатты жокко чыгарыңыз — көчүрмөсү бар ар бир түзмөк бир заматта кирүү укугун жоготот, эч ким тынчын алгысы келбеген кеңседеги түзмөк да кошо. Аны кармап туруңуз — жоголгон түзмөк иштей берет, анткени протоколдо аны бекитилген көчүрмөдөн айырмалаган эч нерсе жок.

Журналдар да ошол эле бүдөмүктүктү мураска алат. Статус чыгарылышы жалпы атты жана чыныгы даректи көрсөтөт, жана экөө тең эки түзмөктүн кайсынысына болсо да таандык болушу мүмкүн. Кайсы машина эмне кылганын билүү керек болгон окуя изилдөөсү бул суроого VPNдин өз жазууларынан жооп бере албайт, журнал деңгээли канчалык деталдуу болсо да.

Буга криптографиялык айлануу жолу жок. Бир эле сертификатты көрсөткөн эки түзмөк сервер үчүн бир эле катышуучунун эки жолкусу, жана тескерисин талап кылган кандайдыр бир схема көзөмөл эмес, ат коюу конвенциясы.

Бөлүшүү качан туура, жана аны кантип чектөө керек

Бөлүшүүнүн мыйзамдуу колдонулуштары бар: бир нече сыноо машинасы колдонгон лабораториялык аккаунт, же түзмөктөр бирге башкарылган жана жокко чыгаруунун майдалыгы маанилүү эмес үй-бүлө. Мындай учурларда опцияны атайын күйгүзүңүз, бөлүшүлгөн ишеним кагазын түзмөк боюнча саясаттан тышкары кармаңыз, жана сессиялар даректе кагылышпашы үчүн бассейнге орун бериңиз.

Өзүнчө даректер, өзүнчө журналдар же өзүнчө өчүрүү талап кылынган баары үчүн кадимки каттоо жолу менен өзүнчө сертификаттарды бериңиз. Бул ар бир кийинки системага таянуу үчүн өзүнчө объект берет, жана аттар мурунтан уникалдуу болгондуктан опция маанисин жоготот.

Кайсы жолду тандасаңыз да, кирүүнү эмес, башкаруу моделин сынаңыз. Эки түзмөктү туташтырыңыз, алардын даректери башка экенин ырастаңыз, анан жоготууну имитациялап, алардын так бирин гана өчүрө аларыңызды текшериңиз. openvpn(8) колдонмосу опциянын чегин аныктайт; бөлүшүү чындап кабыл алынарбы, муну сиздин өчүрүү тартибиңиз аныктайт.