Du įrenginiai, vienas OpenVPN sertifikatas: persijungimo ciklas

Tunelis, kuris pakyla ir tada kas pusę minutės persikrauna, paprastai nėra šifro ar MTU problema. Tai viena tapatybė, naudojama du kartus. Serveris pamato pažįstamą bendrą vardą, priima naują sesiją kaip naujausią, o senesnis įrenginys supranta, kad buvo pakeistas. Iš kliento pusės tai atrodo kaip neveiklumo laiko limitas ir perkrovimas, todėl tyrimas taip dažnai prasideda ne ten, kur reikia.

Pradėkite nuo perkrovimo intervalo

Intervalas yra užuomina prieš visa kita. Tolygus ritmas, atitinkantis ping-restart langą, rodo keičiamą sesiją, o ne nepavykusį kelią, nes kelio gedimai retai būna tokie reguliarūs. Užsirašykite tikslų tarpą tarp perkrovimų ir priežasties eilutę kliento žurnale. Laiko limitas su perkrovimu po jo pasakoja kitą istoriją nei nepavykęs rankos paspaudimas.

Patikrinkite, kada perkrovimai prasidėjo antrojo įrenginio atžvilgiu. Naujas nešiojamas kompiuteris, telefonas ar profilis, nukopijuotas į atsarginę mašiną, yra įprasti sukėlėjai, o laikas paprastai sutampa su diena, kai kas nors jį nustatė.

Užrašykite intervalą ir priežastį. Abu yra įrodymai, ir abu pigiai surenkami.

Perskaitykite, ką serveris pasakė apie antrą prisijungimą

Serveryje, kurį valdote, žurnalas įvardija bendrą vardą ir parodo ateinantį antrą ryšį. Be duplicate-cn tas atėjimas pakeičia esamą to paties vardo sesiją, ir pranešimas paprastai tai pasako tiesiai. Su duplicate-cn abi sesijos egzistuoja kartu ir simptomas pasikeičia: klientai lieka prisijungę, bet dalijasi vienu nustatymų rinkiniu vienam klientui ir vienu atšaukimo sprendimu. Skaitykite abu įrašus kartu, nes pakeitimas matomas tik sekoje.

Priglobtos paslaugos atveju serverio žurnalo gali visai nebūti. Tada užuomina yra laikas: stabilus tunelis, kuris nukrenta kiekvieną kartą, kai prisijungia kita mašina, o kliento žurnale nėra nieko, išskyrus laiko limitą.

Palyginkite sertifikato ir rakto blokus abiejuose profiliuose, ne tik nuotolinio hosto vardą. Nukopijuoti profiliai paprastai skiriasi tik failo vardu.

Atskirkite tapatybę serverio pusėje

Išduokite po vieną sertifikatą kiekvienam įrenginiui per CA, kuri pasirašo šiam serveriui. Su Easy-RSA tai reiškia atskirą kliento vardą kiekvienam įrenginiui, o profilis tada sukuriamas iš to sertifikato ir jo rakto. Bendras vardas tampa įrenginio tapatybe, ir būtent to serveriui trūko. Pavadinkite juos pagal įrenginį, o ne pagal asmenį, kad pakeitimas sukurtų naują vardą.

Bendras valdymo kanalo raktas yra atskiras dalykas. tls-crypt arba tls-auth apsaugo valdymo kanalą kiekvienam klientui ir yra skirtas bendrinti. Jis nėra kliento tapatybė, ir jo pakeitimas nepataisys dvigubo sertifikato.

Laikykite sertifikatą, raktą ir bet kurį kiekvieno kliento konfigūracijos failą po tuo pačiu bendru vardu, kitaip susiejimas sulūžta kitame prisijungime. Ten neatitikimas sukuria klientą, kuris autentifikuojasi ir tada nieko negauna.

Po atskyrimo palaikykite adresus ir nustatymus suderintus

Fiksuoti adresai įveda antrą susidūrimo būdą. Jei serveris juos skiria per ifconfig-pool-persist arba failą vienam klientui, tie įrašai vis dar rodo į seną vardą. Du įrenginiai gali gauti tą patį tunelio adresą net ir po to, kai sertifikatai atskirti, ir ta gedimas atrodo kitaip nei pradinis ciklas.

Atnaujinkite susiejimą kartu su sertifikatu, tada iš naujo prijunkite abu įrenginius ir palyginkite jiems skirtus adresus. Dvigubas adresas pasirodo kaip protarpinis nuostolis, o ne kaip švarus prisijungimas iš naujo.

Siųskite nustatymus, kurie turėtų skirtis pagal įrenginį, per to įrenginio failą, o ne per bendrą šabloną. Bendras šablonas taip pat apsunkina kito dublikato pastebėjimą.

Tinkamai išimkite seną tapatybę

Atšaukite sertifikatą, kai techninė įranga išimama arba dingsta, o ne ištrinkite profilį iš senos mašinos. Atšaukimas sukuria naują CRL, ir serveriui reikia to failo ten, kur nurodo crl-verify. Su ta direktyva vietoje trūkstamas arba neperskaitomas CRL priverčia serverį atmesti kiekvieną klientą, todėl po kiekvieno atnaujinimo išbandykite vieną žinomą paskyrą.

Tvarkykite inventorizaciją, kuri kiekvieną sertifikatą susieja su asmeniu ar įrenginiu, su išdavimo ir atšaukimo datomis. Ta inventorizacija atsako, kas dar turi prieigą, neskaitant failų vardų, ir neleidžia kitam nukopijuotam profiliui vėl pradėti ciklo.