Хоёр төхөөрөмж, нэг OpenVPN гэрчилгээ: дахин холбогдлын давталт

Хагас минут тутам босож, дараа нь дахин эхэлдэг туннель нь ихэвчлэн шифр эсвэл MTU-ийн асуудал биш. Энэ нь нэг таних тэмдгийг хоёр удаа ашиглаж байгаа хэрэг. Сервер танил нийтлэг нэрийг харж, шинэ сессийг хамгийн сүүлийнх гэж авч, хуучин төхөөрөмж өөрийгөө сольсон гэдгийг мэддэг. Клиентийн талаас энэ нь идэвхгүй байдлын хугацаа дуусаж дахин эхэлсэн мэт харагддаг тул мөрдөн шалгалт ихэвчлэн буруу газраас эхэлдэг.

Дахин эхлэх интервалаас эхэл

Интервал нь бүхнээс өмнөх сэжүүр юм. ping-restart цонхтой тохирох жигд хэмнэл нь эвдэрсэн зам биш, солигдож буй сессийг заадаг, учир нь замын гэмтэл ийм тогтмол байх нь ховор. Дахин эхлэлүүдийн хоорондох яг завсрыг болон клиентийн бүртгэл дэх шалтгааны мөрийг тэмдэглэ. Хугацаа дууссаны дараах дахин эхлэл бүтэлгүй гар барилтаас өөр түүх ярьдаг.

Хоёр дахь төхөөрөмжтэй харьцуулахад дахин эхлэлүүд хэзээ эхэлснийг шалга. Шинэ зөөврийн компьютер, утас эсвэл нөөц машин руу хуулсан профайл нь ердийн шалтгаан бөгөөд цаг нь ихэвчлэн хэн нэгэн үүнийг тохируулсан өдөртэй таардаг.

Интервал болон шалтгааныг бич. Хоёулаа нотолгоо бөгөөд хоёуланг нь хямдхан цуглуулж болно.

Сервер хоёр дахь нэвтрэлтийн талаар юу хэлснийг унш

Өөрийн хянадаг сервер дээр бүртгэл нийтлэг нэрийг дурдаж, хоёр дахь холболт ирж буйг харуулдаг. duplicate-cn байхгүй бол тэр ирэлт ижил нэрийн одоо байгаа сессийг орлуулж, мессеж ихэвчлэн үүнийг шууд хэлдэг. duplicate-cn байвал хоёр сессийг зэрэг оршиж, шинж тэмдэг өөрчлөгдөнө: клиентүүд холбогдсон хэвээр байх боловч клиент тус бүрийн нэг тохиргооны багц болон нэг хүчингүй болгох шийдвэрийг хуваалцана. Орлуулалт зөвхөн дарааллаар харагддаг тул хоёр бичлэгийг хамт унш.

Хостингийн үйлчилгээнд серверийн бүртгэл огт байхгүй байж болно. Тэгвэл сэжүүр нь цаг хугацаа: өөр машин холбогдох бүрт унадаг тогтвортой туннель, клиентийн бүртгэлд хугацаа дууссанаас өөр юу ч байхгүй.

Зөвхөн алсын хост нэрийг биш, хоёр профайл дахь гэрчилгээ болон түлхүүрийн блокийг харьцуул. Хуулсан профайлууд ихэвчлэн зөвхөн файлын нэрээр ялгаатай байдаг.

Таних тэмдгийг серверийн талд хуваа

Энэ серверт гарын үсэг зурдаг CA-аар дамжуулан төхөөрөмж бүрт нэг гэрчилгээ олго. Easy-RSA-тай бол энэ нь төхөөрөмж бүрт тусдаа клиент нэр гэсэн үг бөгөөд профайл дараа нь тэр гэрчилгээ болон түүний түлхүүрээс бүтдэг. Нийтлэг нэр нь төхөөрөмжийн таних тэмдэг болдог бөгөөд серверт яг үүний дутагдаж байсан. Тэднийг хүний биш, төхөөрөмжийн нэрээр нэрлэ, ингэснээр солилт шинэ нэр гаргана.

Хуваалцсан удирдлагын сувгийн түлхүүр нь тусдаа зүйл. tls-crypt эсвэл tls-auth нь клиент бүрийн удирдлагын сувгийг хамгаалдаг бөгөөд хуваалцахад зориулагдсан. Энэ нь клиентийн таних тэмдэг биш бөгөөд түүнийг солих нь давхардсан гэрчилгээг засахгүй.

Гэрчилгээ, түлхүүр болон клиент тус бүрийн тохиргооны файлыг ижил нийтлэг нэрийн дор байлга, эс бөгөөс дараагийн холболтод тохиролцоо эвдэрнэ. Тэнд зөрүү гарвал баталгаажуулалт дамжин өнгөрч, дараа нь юу ч авахгүй клиент үүсдэг.

Хуваалтын дараа хаяг болон тохиргоог зэрэгцүүлж байлга

Тогтмол хаягууд мөргөлдөх хоёр дахь аргыг нээдэг. Хэрэв сервер тэднийг ifconfig-pool-persist эсвэл клиент тус бүрийн файлаар олгодог бол тэр бүртгэлүүд хуучин нэр рүү хараахан чиглэсээр байна. Гэрчилгээг салгасны дараа ч хоёр төхөөрөмж ижил туннелийн хаяг авч болох бөгөөд тэр гэмтэл анхны давталтаас өөр харагдана.

Тохиролцоог гэрчилгээний хамт шинэчил, дараа нь хоёр төхөөрөмжийг дахин холбож, тэдэнд олгосон хаягуудыг харьцуул. Давхардсан хаяг нь цэвэр дахин холбогдол биш, тасалдалтай алдагдал хэлбэрээр илэрдэг.

Төхөөрөмж бүрт өөр байх ёстой тохиргоог тухайн төхөөрөмжийн өөрийн файлаар илгээ, хуваалцсан загвараар биш. Хуваалцсан загвар нь дараагийн давхардлыг анзаарахыг ч хүндрүүлдэг.

Хуучин таних тэмдгийг зохих ёсоор буулга

Техник хангамж буух эсвэл алга болох үед хуучин машинаас профайлыг устгахын оронд гэрчилгээг хүчингүй болго. Хүчингүй болгох нь шинэ CRL үүсгэдэг бөгөөд серверт тэр файл crl-verify заасан газарт хэрэгтэй. Тэр заавар байгаа үед алга болсон эсвэл уншигдахгүй CRL нь серверийг клиент бүрийг татгалзахад хүргэдэг тул шинэчлэл бүрийн дараа нэг мэдэгдэх дансыг туршиж үз.

Гэрчилгээ бүрийг хүн эсвэл төхөөрөмжтэй холбосон, олгосон болон хүчингүй болгосон огноотой бүртгэл хөтөл. Тэр бүртгэл файлын нэрийг уншихгүйгээр хэнд дахин хандах эрх байгааг хариулж, дараагийн хуулсан профайл давталтыг дахин эхлүүлэхээс сэргийлдэг.