Эки түзмөк, бир OpenVPN сертификаты: кайра туташуу цикли

Ар жарым мүнөт сайын көтөрүлүп, кайра башталган туннель адатта шифр же MTU маселеси эмес. Бул эки жолу колдонулган бир инсандык. Сервер тааныш жалпы атты көрөт, жаңы сессияны эң акыркы деп кабыл алат, ал эми эски түзмөк өзү алмаштырылганын билип калат. Кардар тараптан бул аракетсиздик тайм-ауту жана кайра баштоо сыяктуу көрүнөт, ошондуктан тергөө ушунчалык көп туура эмес жерден башталат.

Кайра баштоо аралыгынан баштаңыз

Аралык баарынан мурун белги. ping-restart терезесине туура келген бирдей ритм бузулган жолду эмес, алмаштырылып жаткан сессияны көрсөтөт, анткени жолдогу бузулуулар сейрек ушунчалык тыкан болот. Кайра баштоолордун ортосундагы так аралыкты жана кардар журналындагы себеп сабын жазып алыңыз. Тайм-ауттан кийинки кайра баштоо ийгиликсиз кол алышуудан башка окуя айтып берет.

Кайра баштоолор экинчи түзмөккө карата качан башталганын текшериңиз. Жаңы ноутбук, телефон же камдык машинага көчүрүлгөн профиль адаттагы себептер, жана убакыт адатта бирөө аны орноткон күнгө туура келет.

Аралыкты жана себебин жазыңыз. Экөө тең далил, жана экөөнү тең жыйноо арзан.

Сервер экинчи кирүү тууралуу эмне дегенин окуңуз

Өзүңүз башкарган серверде журнал жалпы атты атайт жана экинчи туташуунун келе жатканын көрсөтөт. duplicate-cn жок болсо, ал келүү ошол эле аттын учурдагы сессиясын алмаштырат, жана билдирүү адатта муну ачык айтат. duplicate-cn бар болсо, эки сессия тең жашайт жана симптом өзгөрөт: кардарлар туташууда турат, бирок ар бир кардарга бир параметрлер топтому жана бир жокко чыгаруу чечимин бөлүшөт. Эки жазууну чогуу окуңуз, анткени алмаштыруу гана ырааттуулукта көрүнөт.

Хостинг кызматында сервер журналы такыр болбошу мүмкүн. Анда белги — убакыт: башка машина туташкан сайын кулап түшкөн туруктуу туннель, ал эми кардар журналында тайм-ауттан башка эч нерсе жок.

Алыскы хост атын гана эмес, эки профилдеги сертификат жана ачкыч блокторун салыштырыңыз. Көчүрүлгөн профилдер адатта файл аты менен гана айырмаланат.

Инсандыкты сервер тарапта бөлүңүз

Бул сервер үчүн кол койгон CA аркылуу ар бир түзмөккө бир сертификат бериңиз. Easy-RSA менен бул ар бир түзмөккө өзүнчө кардар атын билдирет, жана профиль ошол сертификат менен анын ачкычынан курулат. Жалпы ат түзмөктүн инсандыгына айланат, жана бул серверге так жетишпеген нерсе болчу. Аларды адамдын эмес, түзмөктүн аты менен атаңыз, ошондо алмаштыруу жаңы ат жаратат.

Жалпы башкаруу каналынын ачкычы өзүнчө нерсе. tls-crypt же tls-auth ар бир кардардын башкаруу каналын коргойт жана бөлүшүүгө арналган. Ал кардардын инсандыгы эмес, жана аны алмаштыруу кайталанган сертификатты оңдобойт.

Сертификатты, ачкычты жана ар бир кардардын конфигурация файлын бир жалпы аттын астында кармаңыз, болбосо кийинки туташууда дал келүү бузулат. Ал жердеги дал келбестик аутентификациядан өтүп, анан эч нерсе албаган кардарды жаратат.

Бөлүүдөн кийин даректерди жана параметрлерди шайкеш кармаңыз

Туруктуу даректер кагылышуунун экинчи жолун ачат. Эгер сервер аларды ifconfig-pool-persist же кардар файлы аркылуу берсе, ал жазуулар дагы эле эски атка шилтейт. Сертификаттар бөлүнгөндөн кийин да эки түзмөк бирдей туннель дарегин алышы мүмкүн, жана бул бузулуу баштапкы циклге окшошпойт.

Дал келүүнү сертификат менен бир убакта жаңыртыңыз, анан эки түзмөктү кайра туташтырып, аларга берилген даректерди салыштырыңыз. Кайталанган дарек таза кайра туташуу эмес, үзгүлтүктүү жоготуу катары көрүнөт.

Ар бир түзмөк үчүн башкача болушу керек параметрлерди ошол түзмөктүн өз файлы аркылуу жөнөтүңүз, жалпы шаблон аркылуу эмес. Жалпы шаблон кийинки кайталоону байкоону да кыйындатат.

Эски инсандыкты татыктуу түрдө токтотуңуз

Аппараттык камсыздоо токтотулганда же жоголгондо профилди эски машинадан өчүрүүнүн ордуна сертификатты жокко чыгарыңыз. Жокко чыгаруу жаңы CRL жаратат, жана серверге ал файл crl-verify шилтеген жерде керек. Ошол директива ордунда болгондо, жок же окулбаган CRL серверди ар бир кардардан баш тартууга мажбурлайт, ошондуктан ар бир жаңыртуудан кийин бир белгилүү эсепти текшериңиз.

Ар бир сертификатты адамга же түзмөккө байланыштырган, берилген жана жокко чыгарылган күндөрү бар тизмени жүргүзүңүз. Бул тизме файл аттарын окубастан эле кимдин дагы уруксаты бар экенин жооп берет, жана кийинки көчүрүлгөн профилдин циклди кайра башташына жол бербейт.