duplicate-cn gëtt zwee Apparater eng Identitéit, net zwou

Kopéiert de Profil op den Tablet, verbënnt Iech, an de Laptop fält eraus. Füügt duplicate-cn derbäi, béid bleiwen verbonnen, an de Problem gesäit geléist aus — bis déi zwee Apparater ëm déiselwecht Tunneladress streiden oder en verluerenen Tablet de ganze Kont offline hëlt. D'Optioun ännert eng Saach an nëmmen eng: ob de Server eng zweet Sessioun ënner engem Numm erlaabt, deen hien schon gesinn huet. Alles, wat d'Leit erwaarden, datt et dat fléckt — vun der Onofhängegkeet vun den Apparater iwwer d'Adresséierung pro Apparat bis zur selektiver Widderruffung — geschitt nach ëmmer iwwer d'Identitéit, an d'Identitéit ass hei de Certificat.

De Mythos: eng zweet Sessioun ass eng zweet Identitéit

D'Intuitioun seet, zwee Verbindungen mussen zwee Clienten sinn, an zwee Cliente sollten zwee Apparater mat hiren eegene Rechter sinn. De Server modelléiert dat net sou. Hien gesäit e gemeinsamen Numm, a mat aktivem duplicate-cn akzeptéiert hien méi wéi eng lieweg Sessioun mat deem Numm, an all kritt hire eegene Sessiounszoustand am Daemon.

Näischt un deem Akzept beréiert d'Zertifikatsprüfung. Deen eenzegen Zertificat ass nach ëmmer d'Legitimatioun, dee selwechte Schlëssel ass nach ëmmer de private Schlëssel, an all Politik, déi op de Sujet vum Zertificat opbaut, léist sech nach ëmmer zweemol op dee selwechte Wäert. Eng zweet Sessioun ass en zweete Socket, net eng zweet Identitéit.

Dee Vëschool ass onsiichtbar, soulaang alles funktionnéiert. Hie gëtt ganz siichtbar an deem Moment, wou Der déi zwee Apparater musst ausernee setzen — an dat ass meeschtens den Dag, wou ee vun hinne verluer geet.

Wat wierklech ännert, wann zwou Sessiounen en Numm deelen

Ouni d'Optioun verdrängt eng nei Verbindung ënner engem gemeinsamen Numm, dee schonn verbonnen ass, déi viregt Sessioun. Dofir fält de Laptop eraus, wann den Tablet sech verbënnt, an dat ass eng bewosst Ofsécherung géint Méideidegkeet, keen Feeler. Mat der Optioun bleiwen zwou Sessiounen am Liewen an de Server verfollegt se getrennt pro Sessioun, net pro Apparat.

All Sessioun kritt nach ëmmer hir eege baussenzeg Verbindung an hir eege ausgehandelt Schlësselen, also ass de gläichzäitegen Duerchset wierklech gläichzäiteg. Wat se deelen, ass alles, wat aus der Legitimatioun ofgeleet gëtt: Politik-Sich, clientspezifesch Konfiguratioun, Log-Identitéit a Widderruffung. De Sessiounszoustand gehéiert zur Verbindung an stierft mat hir, während d'Fakten op Legitimatiouns-Niveau fir béid bestoe bleiwen. Dofir kann d'Statusausgab den nämmlechten Numm zweemol oplëschten, während d'Zähler getrennt bleiwen.

Iwwerpréift, wat Äre Build wierklech mécht, éier Der drop opbaut, well den Effekt vun der Optioun bestëmmt d'Optioun selwer an net de Volleksmond:

grep -n 'duplicate-cn\|client-config-dir\|username-as-common-name' /etc/openvpn/server.conf

Déi statesch Adress, vun där Der gegleeft hutt, Dir hätt se zougewisen

D'Konfiguratioun pro Client gëtt nom Numm nogekuckt, an do ass d'Fal. Eng client-config-dir-Datei, déi nom gemeinsamen Numm benannt ass gëllt fir all Apparat, deen deen Numm benotzt, also gëtt en ifconfig-push dran béiden Apparater déiselwecht Tunneladress. Déi zweet Sessioun entweder kënnt net zou Stoe oder kollidéiert esou, datt et wéi en Routingfeeler ausgesäit.

En dynamesche Pool behält sech zoufälleg besser, well all Sessioun onofhängeg eng Adress aus dem Pool kritt. Dat gëtt Der awer nach ëmmer keng stabil Adress pro Apparat, an et gëtt Der sécher keng Politik pro Apparat, déi un déi Adress gebonnen ass.

Wann d'Deployment username-as-common-name benotzt, gëtt de Sichschlëssel den authentifizéierte Benotzernumm amplaz vum Sujet vum Zertificat, an dee selwechte Kollisioun follegt fir jiddereen, deen sech zweemol aloggt. Den Numm, deen d'Konfiguratioun dréit, muss pro Apparat eenzegaarteg sinn, fir datt d'Konfiguratioun pro Apparat eppes bedeit.

Wat eng gedeelt Identitéit beim Ersetze net ka maachen

D'Widderruffung wierkt um Zertificat, net um ugewisene Numm an net op der Sessioun. Rufft dee Zertificat zréck, a jiddereen Apparat, deen eng Kopie hält, verléiert den Zougang op ee Schlag, och deen am Büro, deen een net wëll stéieren. Behällt en, an den verluerenen Apparat schafft weider, well näischt am Protokoll en vun der geneemegter Kopie ënnerscheet.

D'Loge ierwen déiselwecht Méideidegkeet. D'Statusausgab weist en gemeinsamen Numm an eng richteg Adress, an déi zwou kënnen zu engem vun den zwee Apparater gehéieren. Eng Incident-Iwwerpréifung, déi muss wëssen, wéi eng Maschinn wat gemaach huet, kann d'Fro net aus den eegene Opzeechnunge vum VPN beäntwerten, egal wéi vill Detailer den Niveau vum Log gëtt.

Et gëtt keng kryptografesch Ëmwee dofir. Zwee Apparater, déi deeselwechten Zertificat presentéieren, sinn fir de Server dee selwechte Participant zweemol, an all Schema, dee sech anescht ausgëtt, ass eng Nummkonventioun an net eng Kontroll.

Wéini Deelen richteg ass, a wéi een et begrenzt

Deelen huet legitim Notzungen: en Laborberäich, dee vu méi Testmaschinne benotzt gëtt, oder en Haushalt, wou d'Apparater zesummen administréiert ginn an d'Granularitéit vun der Widderruffung egal ass. An deene Fäll aktivéiert d'Optioun bewosst, hält d'gedeelt Legitimatioun aus der Politik pro Apparat eraus, a gitt dem Pool Plaz, datt d'Sessiounen net op enger Adress kollidéieren.

Fir alles, wat getrennt Adressen, getrennt Logen oder en getrennt Ersetze brauch, gitt getrennt Zertificaten iwwer den normale Wee vun der Umeldung aus. Dat gëtt all nofollgend System en eegegen Objet, op deen et sech stäipe kann, an d'Optioun verléiert seng Bedeitung, well d'Nimm schonn eenzegaarteg sinn.

Wat fir e Wee Der och wielt, testt d'Verwaltungsmodell an net de Login. Verbënnt béid Apparater, bestätegt, datt se verschidde Adressen hunn, simuléiert dann e Verloscht a kontrolléiert, datt Der genee ee vun hinne kënnt eraushuelen. Den Handbuch openvpn(8) definéiert d'Reechwäit vun der Optioun; Äre Prozedur vum Ersetze definéiert, ob Deelen tatsächlech akzeptabel ass.