duplicate-cn दोन उपकरणांना एक ओळख देतो, दोन नाही

प्रोफाइल टॅब्लेटवर कॉपी करा, कनेक्ट करा, आणि लॅपटॉप बाहेर पडतो. duplicate-cn जोडा, दोन्ही जोडलेले राहतात, आणि समस्या सुटल्यासारखी वाटते — दोन उपकरणे एकाच टनेल पत्त्यासाठी भांडू लागेपर्यंत किंवा हरवलेले टॅब्लेट संपूर्ण खाते ऑफलाइन करेपर्यंत. हा पर्याय एकच गोष्ट बदलतो: सर्व्हर आधीच पाहिलेल्या नावाखाली दुसऱ्या सत्रास परवानगी देतो की नाही. उपकरण स्वातंत्र्यापासून प्रति-उपकरण पत्ता नियुक्ती आणि निवडक रद्द करण्यापर्यंत लोक जे अपेक्षित असतात ते सर्व अजूनही ओळखीनेच होते, आणि इथे ओळख म्हणजे प्रमाणपत्र.

दंतकथा: दुसरे सत्र म्हणजे दुसरी ओळख

दोन कनेक्शन दोन क्लायंट असावेत, आणि दोन क्लायंटना स्वतःच्या हक्कांसह दोन उपकरणे असावीत ही अंतर्ज्ञान. सर्व्हर असे मॉडेल करत नाही. तो एक सामाईक नाव पाहतो, आणि duplicate-cn सक्रिय असताना त्या नावाने असलेली एकापेक्षा जास्त जिवंत सत्रे स्वीकारतो, आणि प्रत्येकाला डीमनमध्ये स्वतःची सत्र स्थिती मिळते.

त्या स्वीकारात प्रमाणपत्र पडताळणीला काहीही धक्का लागत नाही. तेच प्रमाणपत्र अजूनही ओळखपत्र आहे, तीच किल्ली अजूनही खाजगी किल्ली आहे, आणि प्रमाणपत्राच्या विषयावर आधारित कोणतेही धोरण अजूनही दोन वेळा त्याच मूल्यावर पोहोचते. दुसरे सत्र दुसरे सॉकेट आहे, दुसरी ओळख नाही.

सर्व काही चालू असताना हा फरक अदृश्य असतो. दोन उपकरणे वेगळी करावी लागण्याच्या क्षणी तो अगदी स्पष्ट होतो — आणि सहसा तो त्यांच्यापैकी एक हरवलेला दिवस असतो.

दोन सत्रे एक नाव सामाईक असताना प्रत्यक्षात काय बदलते

पर्याय नसल्यास, आधीच जोडलेल्या सामाईक नावाखालील नवीन कनेक्शन आधीचे सत्र बाजूला सारते. टॅब्लेट जोडले जाते तेव्हा लॅपटॉप बाहेर पडण्याचे कारण तेच आहे, आणि तो बग नाही तर जाणीवपूर्वक अस्पष्टता-प्रतिबंध आहे. पर्यायासह दोन्ही सत्रे जिवंत राहतात आणि सर्व्हर त्यांना उपकरणानुसार नाही तर सत्रानुसार वेगळे ट्रॅक करतो.

प्रत्येक सत्राला अजूनही स्वतःचे बाह्य कनेक्शन आणि स्वतःच्या बोलणीत ठरलेल्या किल्ल्या मिळतात, त्यामुळे समवर्ती थ्रूपुट खरोखर समवर्ती असते. ते सामाईक असलेले सर्व ओळखपत्रातून निघालेले असते: धोरण शोध, क्लायंट-विशिष्ट संरचना, लॉगमधील ओळख आणि रद्द करणे. सत्र स्थिती कनेक्शनची असते आणि त्याबरोबर मरते, तर ओळखपत्र-पातळीवरील तथ्ये दोन्हींसाठी टिकून राहतात. म्हणूनच स्थिती आउटपुट एकच नाव दोन वेळा सूचीबद्ध करू शकते तरी काउंटर वेगळे राहतात.

त्यावर रचना करण्यापूर्वी तुमचे बिल्ड प्रत्यक्षात काय करते ते तपासा, कारण पर्यायाचा परिणाम पर्यायच ठरवतो, लोककथा नाही:

grep -n 'duplicate-cn\|client-config-dir\|username-as-common-name' /etc/openvpn/server.conf

तुम्ही नेमला असे वाटलेला स्थिर पत्ता

प्रति-क्लायंट संरचना नावाने शोधली जाते, आणि तिथेच सापळा आहे. सामाईक नावावरून नाव दिलेली client-config-dir फाईल ते नाव वापरणाऱ्या प्रत्येक उपकरणाला लागू होते, त्यामुळे तिच्यातील ifconfig-push दोन्ही उपकरणांना एकच टनेल पत्ता देते. दुसरे सत्र एकतर स्थापित होत नाही, किंवा राऊटिंग बिघाडासारखे दिसणाऱ्या पद्धतीने टक्कर देते.

गतिमान पूल अपघाताने चांगले वागते, कारण प्रत्येक सत्राला पूलमधून स्वतंत्रपणे पत्ता दिला जातो. तरीही तो तुम्हाला प्रति-उपकरण स्थिर पत्ता देत नाही, आणि त्या पत्त्याशी बांधलेले प्रति-उपकरण धोरण तर मुळीच देत नाही.

जर तैनाती username-as-common-name वापरत असेल, तर शोध-किल्ली प्रमाणपत्राच्या विषयाऐवजी प्रमाणित वापरकर्तानाव होते, आणि दोन वेळा लॉग इन करणाऱ्या प्रत्येकाला तीच टक्कर होते. संरचना चालवणारे नाव प्रति-उपकरण अद्वितीय असले पाहिजे, तरच प्रति-उपकरण संरचनेला अर्थ राहतो.

काढून टाकताना सामाईक ओळख काय करू शकत नाही

रद्द करणे प्रमाणपत्रावर चालते, दाखवलेल्या नावावर नाही आणि सत्रावरही नाही. ते प्रमाणपत्र रद्द करा — प्रत असलेले प्रत्येक उपकरण एकाच वेळी प्रवेश गमावते, कार्यालयातील ज्याला कोणी त्रास द्यायला नको तेही. ते ठेवा — हरवलेले उपकरण चालू राहते, कारण प्रोटोकॉलमध्ये त्याला मंजूर प्रतीपासून वेगळे करणारे काहीही नाही.

लॉगही तीच अस्पष्टता वारसाने घेतात. स्थिती आउटपुट सामाईक नाव आणि खरा पत्ता दाखवते, आणि दोन्ही दोनपैकी कोणत्याही उपकरणाचे असू शकतात. कोणत्या मशिनने काय केले हे जाणून घ्यायचे असलेल्या घटना-आढाव्याला VPN च्या स्वतःच्या नोंदींमधून या प्रश्नाचे उत्तर देता येत नाही, लॉग पातळी कितीही तपशील देऊ दे.

यावर कोणताही क्रिप्टोग्राफिक पर्यायी मार्ग नाही. एकच प्रमाणपत्र सादर करणारी दोन उपकरणे सर्व्हरसाठी एकच सहभागी दोन वेळा आहेत, आणि उलटा दावा करणारी कोणतीही योजना नियंत्रण नाही तर नाव देण्याची प्रथा आहे.

सामाईक वापर कधी योग्य आहे आणि तो कसा मर्यादित करावा

सामाईक वापराला कायदेशीर उपयोग आहेत: अनेक चाचणी मशिन वापरत असलेले प्रयोगशाळा खाते, किंवा अशी घरगुती व्यवस्था जिथे उपकरणे एकत्र सांभाळली जातात आणि रद्द करण्याची सूक्ष्मता महत्त्वाची नसते. अशा बाबतीत पर्याय जाणीवपूर्वक सुरू करा, सामाईक ओळखपत्र प्रति-उपकरण धोरणाबाहेर ठेवा, आणि सत्रे एका पत्त्यावर टक्कर देऊ नयेत म्हणून पूलला जागा द्या.

स्वतंत्र पत्ते, स्वतंत्र लॉग किंवा स्वतंत्र काढणे आवश्यक असलेल्या प्रत्येकासाठी नेहमीच्या नोंदणी मार्गाने स्वतंत्र प्रमाणपत्रे द्या. त्यामुळे पुढील प्रत्येक प्रणालीला आधार घ्यायला वेगळी वस्तू मिळते, आणि नावे आधीच अद्वितीय असल्याने पर्यायाचे महत्त्व संपते.

कोणताही मार्ग निवडा, लॉगिन नाही तर व्यवस्थापन मॉडेल तपासा. दोन्ही उपकरणे जोडा, त्यांचे पत्ते वेगळे असल्याची खात्री करा, नंतर हानीचे अनुकरण करा आणि त्यातील नेमके एकच काढता येते का ते तपासा. openvpn(8) हस्तपुस्तिका पर्यायाची व्याप्ती ठरवते; सामाईक वापर खरोखर स्वीकारार्ह आहे का हे तुमची काढण्याची प्रक्रिया ठरवते.