duplicate-cn jagħti lil żewġ apparati identità waħda, mhux tnejn

Ikkopja l-profil fuq it-tablet, ikkonnettja, u l-laptop jaqa'. Żid duplicate-cn, it-tnejn jibqgħu konnessi, u l-problema tidher solvuta sakemm iż-żewġ apparati jiġġieldu fuq l-istess indirizz tat-tunnel jew tablet mitlufa tieħu l-kont kollu offline. Din l-għażla tbiddel ħaġa waħda u waħda biss: jekk is-server jippermettix it-tieni sessjoni taħt isem li diġà ra. Kollox li n-nies jistennew li tissewwi, mill-indipendenza tal-apparati sal-indirizzar għal kull apparat u r-revoka selettiva, għadu jsir permezz tal-identità, u l-identità hawn hija ċ-ċertifikat.

Il-mit: it-tieni sessjoni hija tieni identità

L-intuwizzjoni tgħid li żewġ konnessjonijiet iridu jkunu żewġ klijenti, u żewġ klijenti għandhom ikunu żewġ apparati bid-drittijiet tagħhom. Is-server ma jimmodella hekk. Jara isem komuni, u b'duplicate-cn attivat jaċċetta aktar minn sessjoni waħda ħajja bl-isem, u kull waħda tikseb l-istat tas-sessjoni tagħha fid-daemon.

Xejn f'dak l-aċċettar ma jmiss il-verifika taċ-ċertifikat. L-istess ċertifikat għadu l-kredenzjali, l-istess ċavetta għadha l-ċavetta privata, u kull politika msejsa fuq is-suġġett taċ-ċertifikat għadha tiġi riżolta għall-istess valur darbtejn. It-tieni sessjoni hija tieni socket, mhux tieni identità.

Dik id-differenza hija inviżibbli sakemm kollox jaħdem. Issir ħafna viżibbli fil-mument li jkollok tiddistingwi ż-żewġ apparati, u normalment dak ikun il-jum li wieħed minnhom jintilef.

X'jinbidel tassew meta żewġ sessjonijiet jaqsmu isem

Mingħajr l-għażla, konnessjoni ġdida taħt isem komuni li diġà huwa konness tneħħi s-sessjoni preċedenti. Huwa għalhekk li l-laptop jaqa' meta tikkonnettja t-tablet, u din hija protezzjoni maħsuba kontra l-ambigwità, mhux bug. Bl-għażla, iż-żewġ sessjonijiet jibqgħu ħajjin u s-server isegwihom b'mod separat skont is-sessjoni, mhux skont l-apparat.

Kull sessjoni xorta tikseb il-konnessjoni esterna tagħha u ċ-ċwievet mitħaddta tagħha, allura l-fluss simultanju huwa tassew simultanju. Li jaqsmu huwa kollox li joħroġ mill-kredenzjali: tfittxijiet tal-politika, konfigurazzjoni speċifika għall-klijent, identità fil-logs u revoka. L-istat tas-sessjoni jappartjeni għall-konnessjoni u jmut magħha, filwaqt li l-fatti fil-livell tal-kredenzjali jibqgħu għaż-żewġ. Huwa għalhekk li l-output tal-istat jista' jelenka l-istess isem darbtejn waqt li l-kontaturi jibqgħu separati.

Ivverifika x'jagħmel tassew il-build tiegħek qabel ma tiddisinja fuqu, għax l-effett tal-għażla jiddeterminah il-għażla nnifisha u mhux il-folklore:

grep -n 'duplicate-cn\|client-config-dir\|username-as-common-name' /etc/openvpn/server.conf

L-indirizz statiku li ħsibt li assegnajt

Il-konfigurazzjoni għal kull klijent titfittex bl-isem, u hemmhekk hi n-nassa. Fajl client-config-dir imsemmi għall-isem komuni japplika għal kull apparat li juża dak l-isem, allura ifconfig-push ġo fih jagħti liż-żewġ apparati l-istess indirizz tat-tunnel. It-tieni sessjoni jew ma tiġix stabbilita, jew tikkollidi b'mod li jidher bħal ħsara fir-routing.

Pool dinamiku jġib ruħu aħjar b'aċċident, għax kull sessjoni tingħata indirizz mill-pool b'mod indipendenti. Dan xorta ma jagħtikx indirizz stabbli għal kull apparat, u żgur ma jagħtikx politika għal kull apparat marbuta ma' dak l-indirizz.

Jekk l-iskjerament juża username-as-common-name, iċ-ċavetta tat-tfittxija ssir l-isem tal-utent awtentikat minflok is-suġġett taċ-ċertifikat, u l-istess kolliżjoni sseħħ għal kull min jidħol darbtejn. L-isem li jmexxi l-konfigurazzjoni irid ikun uniku għal kull apparat biex il-konfigurazzjoni għal kull apparat tfisser xi ħaġa.

X'ma tistax tagħmel identità maqsuma fil-waqt tat-tneħħija

Ir-revoka taħdem fuq iċ-ċertifikat, mhux fuq l-isem muri u mhux fuq is-sessjoni. Irrevoka dak iċ-ċertifikat u kull apparat li għandu kopja jitlef l-aċċess f'daqqa, inkluż dak fl-uffiċċju li ħadd ma jrid ifixkellu. Żommu u l-apparat mitluf ikompli jaħdem, għax xejn fil-protokoll ma jiddistingwih mill-kopja approvata.

Il-logs jirtu l-istess ambigwità. L-output tal-istat juri isem komuni u indirizz reali, u t-tnejn jistgħu jappartjenu lil xi wieħed miż-żewġ apparati. Reviżjoni ta' inċident li trid tkun taf liema magna għamlet xiex ma tistax twieġeb dik il-mistoqsija mir-rekords tal-VPN stess, kemm-il darba l-livell tal-log jagħti dettall.

M'hemmx soluzzjoni kriptografika għal dan. Żewġ apparati li jippreżentaw l-istess ċertifikat huma, għas-server, l-istess parteċipant darbtejn, u kull skema li tippretendi mod ieħor hija konvenzjoni ta' ismijiet u mhux kontroll.

Meta t-tqassim huwa tajjeb, u kif tillimitah

It-tqassim għandu użi leġittimi: kont tal-laboratorju użat minn bosta magni tal-prova, jew dar fejn l-apparati jiġu amministrati flimkien u l-granularità tar-revoka mhijiex importanti. F'dawk il-każijiet, attiva l-għażla b'mod deliberat, żomm il-kredenzjali maqsuma barra mill-politika għal kull apparat, u agħti spazju lill-pool biex is-sessjonijiet ma jikkollidux fuq indirizz.

Għal kull ħaġa li teħtieġ indirizzi separati, logs separati jew tneħħija separata, ħareġ ċertifikati separati permezz tat-triq normali tar-reġistrazzjoni. Dan jagħti lil kull sistema sussegwenti oġġett distint li tibbaża fuqu, u l-għażla tieqaf timporta għax l-ismijiet diġà huma uniċi.

Liema triq tgħażel, ittestja l-mudell tal-ġestjoni u mhux id-dħul. Qabbad iż-żewġ apparati, ikkonferma li għandhom indirizzi differenti, imbagħad issimula telf u iċċekkja li tista' tneħħi eżattament wieħed minnhom. Il-manwal openvpn(8) jiddefinixxi l-ambitu tal-għażla; il-proċedura tat-tneħħija tiegħek tiddefinixxi jekk it-tqassim huwiex tassew aċċettabbli.