Zwee Apparater, een OpenVPN-Zertifikat: d'Widderverbindungsschleif

En Tunnel, deen eropkënnt an dann all hallef Minutt nei start, ass meeschtens kee Cipher- oder MTU-Problem. Et ass eng Identitéit, déi zweemol benotzt gëtt. De Server gesäit e bekannten Common Name, hëlt déi nei Sessioun als déi neist, an den eelere Apparat entdeckt, datt hien ersat gouf. Vun der Client-Säit gesäit dat aus wéi en Inaktivitäts-Timeout an e Neistart, an dofir fänkt d'Enquête sou dacks op der falscher Plaz un.

Fänkt mam Neistart-Intervall un

Den Intervall ass en Hiwäis virun allem aneren. En gläichméissegen Takt, dee mam ping-restart-Fenster passt, deit op eng ersat Sessioun hin an net op e fäerdege Wee, well Wee-Feeler selten esou reegelméisseg sinn. Notéiert de genauen Ofstand tëscht den Neistarts an d'Grond-Zeil am Client-Log. En Timeout mat engem Neistart duerno erzielt eng aner Geschicht wéi en Handshake, dee gescheitert huet.

Kuckt wéini d'Neistarts am Verhältnis zu engem zweete Apparat ugefaangen hunn. En neien Laptop, en Telefon oder e Profil, deen op eng Ersatzmaschinn kopéiert gouf, sinn déi üblech Ausléiser, an den Zäitpunkt passt meeschtens zum Dag, op deem een en ageriicht huet.

Schreift den Intervall an de Grond op. Béides sinn Beweiser, a béides ass bëlleg ze sammelen.

Liest wat de Server iwwer déi zweet Umeldung gesot huet

Op engem Server, deen dir kontrolléiert, nennt de Log de Common Name a weist eng zweet Verbindung, déi ukënnt. Ouni duplicate-cn ersetzt déi Ukunft déi existent Sessioun fir deen selwechten Numm, an d'Message seet dat meeschtens kloer. Mat duplicate-cn existéieren déi zwou Sessiounen niefteneen an d'Symptom ännert sech: d'Cliente bleiwen uewen, awer deelen ee Set Astellungen pro Client an eng Entscheedung iwwer de Widderruff. Liest déi zwou Entréen zesummen, well d'Ersetzung just an der Reiefolleg ze gesinn ass.

Bei engem gehostete Service hutt dir vläicht guer kee Server-Log. Den Hiwäis ass dann den Zäitpunkt: en stabile Tunnel, dee fält wann ëmmer eng aner Maschinn sech verbënnt, an am Client-Log näischt ausser dem Timeout.

Vergläicht d'Zertifikat- an d'Schlësselbléck an deenen zwou Profilen, net just den entfernten Hostnumm. Kopéiert Profilen ënnerscheede sech meeschtens just am Dateinumm.

Trennt d'Identitéit op der Server-Säit

Gitt een Zertifikat pro Apparat iwwer d'CA aus, déi fir dëse Server ënnerschreift. Mat Easy-RSA heescht dat en eegene Clientnumm fir all Apparat, an de Profil gëtt dann aus deem Zertifikat an sengem Schlëssel gebaut. De Common Name gëtt d'Identitéit vum Apparat, an dat ass genee dat, wat dem Server gefehlt huet. Nennt se nom Apparat an net no der Persoun, sou datt en Ersatz en neien Numm produzéiert.

De gedeelte Steierkanal-Schlëssel ass eng aner Saach. tls-crypt oder tls-auth schützt de Steierkanal fir all Client an ass geduecht gedeelt ze ginn. Et ass keng Client-Identitéit, an en z'ersetzen reparéiert keen duebelt Zertifikat.

Hält d'Zertifikat, de Schlëssel an all Client-Konfiguratiounsdatei ënner deem selwechte Common Name, soss brécht d'Zouuerdnung bei der nächster Verbindung. Eng Ofwäichung do produzéiert e Client, deen sech authentifiéiert an dann näischt kritt.

Hält Adressen an Astellungen no der Trennung am Gläichklang

Fest Adressen bréngen eng zweet Manéier mat, ze kollidéieren. Wann de Server se iwwer ifconfig-pool-persist oder eng Datei pro Client vergëtt, weisen déi Opzeechnungen nach ëmmer op den ale Numm. Zwee Apparater kënnen déiselwecht Tunneladress kréien, och nodeems d'Zertifikaten getrennt sinn, an dee Feeler gesäit anescht aus wéi déi ursprénglech Schleif.

Aktualiséiert d'Zouuerdnung gläichzäiteg mam Zertifikat, verbënnt dann déi zwee Apparater nei a vergläicht hir zougewisen Adressen. Eng duebel Adress weist sech als ënnerbrache Verloscht a net als propper Widderverbindung.

Schéckt Astellungen, déi pro Apparat ënnerscheedlech solle sinn, iwwer d'Datei vun deem Apparat selwer, net iwwer eng gedeelt Schabloun. Eng gedeelt Schabloun mécht déi nächst Duebelung och schwéier ze gesinn.

Mustert déi al Identitéit richteg aus

Widderrufft d'Zertifikat, wann Hardware ausgemustert oder vermësst gëtt, amplaz de Profil vun der aler Maschinn ze läschen. De Widderruff produzéiert eng nei CRL, an de Server brauch déi Datei do, wou crl-verify weist. Mat där Direktive op hirem Platz léisst eng feelend oder net liesbar CRL de Server all Client ofleenen, also test eng bekannt Kont no all Aktualiséierung.

Fuert en Inventar, deen all Zertifikat mat enger Persoun oder engem Apparat verbënnt, mat Ausstellungs- an Widderruffsdatum. Dat Inventar äntwert, wien nach Zougang huet, ouni Dateinimm ze liesen, an et hält de nächsten kopéierte Profil dovun of, d'Schleif nees unzefänken.