duplicate-cn хоёр төхөөрөмжид нэг таних тэмдэг өгдөг, хоёр биш

Профайлыг таблет руу хуулж, холбоно уу — зөөврийн компьютер сална. duplicate-cn нэмэхэд хоёулаа холбогдсон хэвээр үлдэж, асуудал шийдэгдсэн мэт харагдана — хоёр төхөөрөмж нэг л туннелийн хаягийн төлөө зодолдох эсвэл алдагдсан таблет бүх бүртгэлийг сүлжээнээс гаргах хүртэл. Энэ сонголт нэг л зүйлийг өөрчилдөг: сервер өмнө нь харсан нэрийн дор хоёр дахь сессийг зөвшөөрөх эсэх. Хүмүүсийн засах гэж хүлээдэг бүхэн — төхөөрөмжийн бие даасан байдлаас төхөөрөмж тус бүрийн хаяглалт, сонгомол хүчингүй болгох хүртэл — өнөөг хүртэл таних тэмдгээр хийгддэг, энд таних тэмдэг нь гэрчилгээ юм.

Домог: хоёр дахь сессийг хоёр дахь таних тэмдэг гэдэг

Хоёр холболт хоёр клиент байх ёстой, хоёр клиент өөрийн эрхтэй хоёр төхөөрөмж байх ёстой гэдэг нь зөн совин. Сервер үүнийг тийм загварчлахгүй. Тэр нэг нийтлэг нэрийг хардаг бөгөөд duplicate-cn идэвхтэй үед тэр нэрийг агуулсан нэгээс олон амьд сессийг хүлээн авдаг, тус бүр демон дотор өөрийн сессийн төлөвийг авдаг.

Тухайн хүлээн авалт гэрчилгээний баталгаажуулалтад огт хүрдэггүй. Ижил гэрчилгээ нь итгэмжлэл хэвээр, ижил түлхүүр нь хувийн түлхүүр хэвээр, гэрчилгээний субъект дээр суурилсан аливаа бодлого хоёр удаа ижил утгад шилждэг. Хоёр дахь сессийг хоёр дахь сокет, хоёр дахь таних тэмдэг биш.

Энэ ялгаа бүхэн ажиллаж байх үед үл үзэгдэх. Хоёр төхөөрөмжийг ялгах шаардлагатай мөчид маш тод болдог — ихэвчлэн тэдний нэг нь алдагдах өдөр.

Хоёр сессийг нэг нэрийг хуваалцахад үнэхээр юу өөрчлөгддөг

Сонголтгүй бол аль хэдийн холбогдсон нийтлэг нэрийн дор шинэ холболт өмнөх сессийг шахаж гаргадаг. Таблет холбогдоход зөөврийн компьютер салах шалтгаан энэ бөгөөд энэ нь алдаа биш, санаатай хоёрдмол байдлын хамгаалалт юм. Сонголттой бол хоёр сессийг амьд үлдэж, сервер тэдгээрийг төхөөрөмжөөр биш, сессийгээр тус тусад нь хянадаг.

Сессис бүр өөрийн гадаад холболт, өөрийн тохиролцсон түлхүүрийг авдаг тул зэрэгцээ дамжуулах чадвар үнэхээр зэрэгцээ юм. Тэдний хуваалцдаг зүйл нь итгэмжлэлээс үүдэлтэй бүхэн: бодлогын хайлт, клиентэд тусгай тохиргоо, лог дахь таних тэмдэг, хүчингүй болгох. Сессийн төлөв холболтод хамаарах ба түүнтэй хамт үхдэг бол итгэмжлэлийн түвшний баримтууд хоёуланд нь үлддэг. Тиймээс статусын гаралт нэг нэрийг хоёр удаа жагсааж болох боловч тоолуурууд тусдаа үлддэг.

Үүн дээр зохион бүтээхээсээ өмнө таны бүтээц үнэхээр юу хийдгийг шалгаарай, учир нь сонголтын нөлөөг сонголт өөрөө тодорхойлдог, домог биш:

grep -n 'duplicate-cn\|client-config-dir\|username-as-common-name' /etc/openvpn/server.conf

Та олгосон гэж бодсон статик хаяг

Клиент тус бүрийн тохиргоог нэрээр хайдаг бөгөөд энд урхи байна. Нийтлэг нэрээр нэрлэсэн client-config-dir файл тэр нэрийг ашигладаг бүх төхөөрөмжид хамаарах тул доторх ifconfig-push хоёр төхөөрөмжид ижил туннелийн хаяг өгдөг. Хоёр дахь сессис нэг бол үүсэхгүй, эсвэл чиглүүлэлтийн гэмтэл мэт харагдах байдлаар мөргөлддөг.

Динамик сан санамсаргүйгээр илүү сайн ажилладаг, учир нь сессис бүрт сангаас хаяг бие даан олгогддог. Энэ нь төхөөрөмж тус бүрийн тогтвортой хаяг болохгүй, тэр хаягтай холбогдсон төхөөрөмж тус бүрийн бодлого ч болохгүй.

Хэрэв байрлуулалт username-as-common-name ашигладаг бол хайлтын түлхүүр гэрчилгээний субъектийн оронд баталгаажсан хэрэглэгчийн нэр болж, хоёр удаа нэвтэрсэн хэн бүхэнд ижил мөргөлдөөн тохиолдоно. Тохиргоог удирддаг нэр төхөөрөмж тус бүрд өвөрмөц байх ёстой, тэгж байж төхөөрөмж тус бүрийн тохиргоо утга учиртай болно.

Хуваалцсан таних тэмдэг хасах үед юу хийж чадахгүй

Хүчингүй болгох нь гэрчилгээнд үйлчилдэг, харуулсан нэрэнд ч, сессист ч биш. Тэр гэрчилгээг хүчингүй болгоход хуулбартай бүх төхөөрөмж нэгэн зэрэг хандалтаа алддаг, хэнийг ч төвөгшөөхгүй байгаа оффис дахь төхөөрөмж ч орно. Хэрэв үлдээвэл алдагдсан төхөөрөмж ажилласаар байна, учир нь протоколд түүнийг зөвшөөрөгдсөн хуулбараас ялгах зүйл байхгүй.

Логууд мөн адил хоёрдмол байдлыг өвлөдөг. Статусын гаралт нийтлэг нэр, бодит хаягийг харуулдаг бөгөөд хоёулаа хоёр төхөөрөмжийн аль чинь байж болно. Аль машин юу хийснийг мэдэх шаардлагатай ослын хяналт VPN-ийн өөрийн бүртгэлээс энэ асуултад хариулж чадахгүй, логны түвшин хэчнээн дэлгэрэнгүй байсан ч.

Үүнд криптографын тойрч гарах зам байхгүй. Ижил гэрчилгээг үзүүлж буй хоёр төхөөрөмж серверийн хувьд нэг л оролцогч хоёр удаа, эсрэгээр нь мэдэгдэж буй аливаа схем нь хяналт биш, нэрлэх уламжлал юм.

Хуваалцах нь хэзээ зөв, үүнийг хэрхэн хязгаарлах вэ

Хуваалцах нь хууль ёсны хэрэглээтэй: хэд хэдэн туршилтын машин ашигладаг лабораторийн бүртгэл, эсвэл төхөөрөмжүүдийг хамт удирддаг, хүчингүй болгохын нарийвчлал чухал биш гэр бүл. Ийм тохиолдолд сонголтыг санаатай идэвхжүүлж, хуваалцсан итгэмжлэлийг төхөөрөмж тус бүрийн бодлогын гадна байлгаж, сессисүүд хаяг дээр мөргөлдөхгүйн тулд санд зай гарга.

Тусдаа хаяг, тусдаа лог эсвэл тусдаа хасах шаардлагатай бүхэнд ердийн бүртгэлийн замаар тусдаа гэрчилгээ олго. Энэ нь дараагийн систем бүрт тулгуурлах тусдаа объект өгч, нэрс аль хэдийн өвөрмөц болсон тул сонголт ач холбогдлоо алдана.

Аль замыг сонгосон ч нэвтрэлтийг биш, удирдлагын загварыг туршаарай. Хоёр төхөөрөмжийг холбож, өөр өөр хаягтай гэдгийг нь батал, дараа нь алдагдал дуурайж, яг алийг нь ч хасаж чадах эсэхээ шалга. openvpn(8) гарын авлага сонголтын хүрээг тодорхойлдог; хуваалцах нь үнэхээр хүлээн зөвшөөрөхүйц эсэхийг таны хасах журам тодорхойлно.