Divas ierīces, viens OpenVPN sertifikāts: atkārtotas savienošanas cilpa

Tunelis, kas paceļas un pēc tam pārstartējas ik pēc pusminūtes, parasti nav šifra vai MTU problēma. Tā ir viena identitāte, kas tiek izmantota divreiz. Serveris ierauga pazīstamu kopējo nosaukumu, pieņem jauno sesiju kā jaunāko, un vecākā ierīce atklāj, ka tā ir aizstāta. No klienta puses tas izskatās kā dīkstāves taimauts un pārstartēšana, tāpēc izmeklēšana tik bieži sākas nepareizajā vietā.

Sāciet ar pārstartēšanas intervālu

Intervāls ir pavediens pirms visa cita. Vienmērīgs ritms, kas atbilst ping-restart logam, norāda uz aizstājamu sesiju, nevis uz bojātu ceļu, jo ceļa kļūmes reti ir tik regulāras. Pierakstiet precīzu starpību starp pārstartēšanām un iemesla rindu klienta žurnālā. Taimauts ar pārstartēšanu pēc tā stāsta citu stāstu nekā neizdevies rokasspiediens.

Pārbaudiet, kad pārstartēšanas sākās attiecībā pret otru ierīci. Jauns portatīvais dators, tālrunis vai uz rezerves mašīnu nokopēts profils ir ierastie ierosinātāji, un laiks parasti sakrīt ar dienu, kad kāds to iestatīja.

Pierakstiet intervālu un iemeslu. Abi ir pierādījumi, un abus var iegūt lēti.

Izlasi, ko serveris teica par otro pieteikšanos

Serverī, kuru kontrolējat, žurnāls nosauc kopējo nosaukumu un parāda ienākošu otru savienojumu. Bez duplicate-cn šī ienākšana aizstāj esošo sesiju ar to pašu nosaukumu, un ziņojums parasti to saka tieši. Ar duplicate-cn abas sesijas pastāv līdzās un simptoms mainās: klienti paliek savienoti, bet dala vienu iestatījumu kopumu uz klientu un vienu atsaukšanas lēmumu. Lasi abus ierakstus kopā, jo aizstāšana ir redzama tikai secībā.

Mitinātā pakalpojumā servera žurnāla var nebūt vispār. Tad pavediens ir laiks: stabils tunelis, kas nokrīt ikreiz, kad pieslēdzas cita mašīna, un klienta žurnālā nav nekā, izņemot taimautu.

Salīdziniet sertifikāta un atslēgas blokus abos profilos, ne tikai attālā resursdatora nosaukumu. Nokopētie profili parasti atšķiras tikai ar faila nosaukumu.

Atdaliet identitāti servera pusē

Izsniedziet vienu sertifikātu katrai ierīcei caur CA, kas paraksta šim serverim. Ar Easy-RSA tas nozīmē atsevišķu klienta nosaukumu katrai ierīcei, un profils pēc tam tiek veidots no šī sertifikāta un tā atslēgas. Kopējais nosaukums kļūst par ierīces identitāti, un tieši tā serverim trūka. Nosauc tos pēc ierīces, nevis pēc personas, lai aizstāšana radītu jaunu nosaukumu.

Koplietotā vadības kanāla atslēga ir atsevišķa lieta. tls-crypt vai tls-auth aizsargā vadības kanālu katram klientam un ir paredzēta koplietošanai. Tā nav klienta identitāte, un tās nomaiņa nesalabos dublētu sertifikātu.

Turiet sertifikātu, atslēgu un jebkuru klienta konfigurācijas failu zem tā paša kopējā nosaukuma, citādi kartēšana saplīst nākamajā savienojumā. Tur esošā neatbilstība rada klientu, kas autentificējas un pēc tam neko nesaņem.

Pēc sadalīšanas saglabājiet adreses un iestatījumus saskaņotus

Fiksētās adreses ievieš otru sadursmes veidu. Ja serveris tās piešķir caur ifconfig-pool-persist vai failu uz klientu, šie ieraksti joprojām norāda uz veco nosaukumu. Divas ierīces var iegūt vienu un to pašu tuneļa adresi pat pēc sertifikātu atdalīšanas, un šī kļūme izskatās citādi nekā sākotnējā cilpa.

Atjauniniet kartēšanu vienlaikus ar sertifikātu, pēc tam atkārtoti savienojiet abas ierīces un salīdziniet tām piešķirtās adreses. Dublēta adrese izpaužas kā periodisks zudums, nevis kā tīra atkārtota savienošana.

Sūtiet iestatījumus, kuriem jāatšķiras katrai ierīcei, caur tās ierīces paša failu, nevis caur kopīgu veidni. Kopīga veidne arī padara nākamo dublikātu grūtāk pamanāmu.

Pienācīgi izņemiet veco identitāti

Atsauciet sertifikātu, kad aparatūra tiek izņemta vai pazudusi, nevis dzēsiet profilu no vecās mašīnas. Atsaukšana rada jaunu CRL, un serverim ir vajadzīgs šis fails tur, kur norāda crl-verify. Ar šo direktīvu vietā pazudis vai nelasāms CRL liek serverim noraidīt katru klientu, tāpēc pēc katras atjaunināšanas pārbaudiet vienu zināmu kontu.

Uzturiet inventāru, kas saista katru sertifikātu ar personu vai ierīci, ar izsniegšanas un atsaukšanas datumiem. Šis inventārs atbild, kam vēl ir piekļuve, nelasot failu nosaukumus, un neļauj nākamajam nokopētajam profilam atsākt cilpu.