Dua peranti, satu sijil OpenVPN: gelung sambung semula

Terowong yang naik dan kemudian mula semula setiap setengah minit biasanya bukan masalah sifer atau MTU. Ia satu identiti yang digunakan dua kali. Pelayan melihat nama umum yang dikenali, mengambil sesi baharu sebagai yang terkini, dan peranti lama mendapati dirinya telah diganti. Dari sisi klien ia kelihatan seperti tamat masa tidak aktif dan mula semula, dan itulah sebabnya siasatan begitu kerap bermula di tempat yang salah.

Mulakan dengan selang mula semula

Selang itu petunjuk sebelum apa-apa yang lain. Irama tetap yang sepadan dengan tetingkap ping-restart menunjuk kepada sesi yang diganti dan bukan laluan yang gagal, kerana kegagalan laluan jarang begitu teratur. Catat jurang tepat antara mula semula dan baris sebab dalam log klien. Tamat masa yang diikuti mula semula menceritakan kisah berbeza daripada jabat tangan yang gagal.

Periksa bila mula semula bermula berbanding peranti kedua. Komputer riba baharu, telefon atau profil yang disalin ke mesin simpanan ialah pencetus biasa, dan masanya biasanya sepadan dengan hari seseorang menyediakannya.

Tulis selang dan sebabnya. Kedua-duanya bukti, dan kedua-duanya murah dikumpul.

Baca apa yang pelayan katakan tentang log masuk kedua

Pada pelayan yang anda kawal, log menamakan nama umum dan menunjukkan sambungan kedua yang tiba. Tanpa duplicate-cn, ketibaan itu menggantikan sesi sedia ada untuk nama yang sama, dan mesejnya biasanya menyatakannya terus. Dengan duplicate-cn, kedua-dua sesi wujud bersama dan simptom berubah: klien kekal aktif tetapi berkongsi satu set tetapan bagi setiap klien dan satu keputusan pembatalan. Baca kedua-dua entri bersama, kerana penggantian hanya kelihatan dalam urutan.

Pada perkhidmatan yang dihoskan anda mungkin tiada log pelayan langsung. Petunjuknya ialah masa: terowong stabil yang jatuh setiap kali mesin lain bersambung, tanpa apa-apa dalam log klien selain tamat masa.

Bandingkan blok sijil dan kunci dalam kedua-dua profil, bukan hanya nama hos jauh. Profil yang disalin biasanya berbeza hanya pada nama fail.

Pisahkan identiti di sebelah pelayan

Keluarkan satu sijil bagi setiap peranti melalui CA yang menandatangani untuk pelayan ini. Dengan Easy-RSA itu bermakna nama klien berasingan bagi setiap peranti, dan profil kemudiannya dibina daripada sijil itu dan kuncinya. Nama umum menjadi identiti peranti, dan itulah tepat apa yang pelayan kekurangan. Namakan mengikut peranti dan bukan orang, supaya penggantian menghasilkan nama baharu.

Kunci saluran kawalan yang dikongsi ialah perkara berasingan. tls-crypt atau tls-auth melindungi saluran kawalan bagi setiap klien dan memang untuk dikongsi. Ia bukan identiti klien, dan menggantikannya tidak akan membaiki sijil berganda.

Simpan sijil, kunci dan mana-mana fail konfigurasi bagi setiap klien di bawah nama umum yang sama, jika tidak pemetaan pecah pada sambungan seterusnya. Ketidakpadanan di situ menghasilkan klien yang disahkan lalu tidak menerima apa-apa.

Kekalkan alamat dan tetapan sejajar selepas pemisahan

Alamat tetap memperkenalkan cara kedua untuk berlanggar. Jika pelayan memberikannya melalui ifconfig-pool-persist atau fail bagi setiap klien, rekod itu masih menunjuk kepada nama lama. Dua peranti boleh berakhir dengan alamat terowong yang sama walaupun selepas sijil dipisahkan, dan kegagalan itu kelihatan berbeza daripada gelung asal.

Kemas kini pemetaan serentak dengan sijil, kemudian sambung semula kedua-dua peranti dan bandingkan alamat yang diberikan. Alamat berganda muncul sebagai kehilangan berselang dan bukan sambung semula yang bersih.

Hantar tetapan yang sepatutnya berbeza bagi setiap peranti melalui fail peranti itu sendiri, bukan melalui templat kongsi. Templat kongsi juga menjadikan pertindihan seterusnya lebih sukar dikesan.

Persarakan identiti lama dengan betul

Batalkan sijil apabila perkakasan dipersarakan atau hilang, bukan memadam profil daripada mesin lama. Pembatalan menghasilkan CRL baharu, dan pelayan memerlukan fail itu di tempat crl-verify menunjuk. Dengan arahan itu di tempatnya, CRL yang hilang atau tidak terbaca menyebabkan pelayan menolak setiap klien, jadi uji satu akaun yang dikenali selepas setiap kemas kini.

Simpan inventori yang mengaitkan setiap sijil dengan orang atau peranti, berserta tarikh pengeluaran dan pembatalan. Inventori itu menjawab siapa masih mempunyai akses tanpa membaca nama fail, dan ia menghalang profil tersalin seterusnya daripada memulakan semula gelung.