Żewġ apparati, ċertifikat OpenVPN wieħed: il-linja ta' rikonnessjoni

Mina li titla' u mbagħad terġa' tibda kull nofs minuta normalment mhix problema taċ-ċifrar jew tal-MTU. Hija identità waħda li tintuża darbtejn. Is-server jara isem komuni familjari, jieħu s-sessjoni l-ġdida bħala l-aktar waħda reċenti, u l-apparat il-qadim jiskopri li ġie sostitwit. Mill-ġenb tal-klijent dan jidher bħal waqfa ta' inattività u riavviar, u għalhekk l-investigazzjoni tant spiss tibda fil-post żbaljat.

Ibda mill-intervall tar-riavviar

L-intervall huwa ħjiel qabel kull ħaġa oħra. Ritmu kostanti li jaqbel mat-tieqa ping-restart jindika sessjoni li qed tiġi sostitwita u mhux mogħdija li qed tfalli, għax il-ħsarat tal-mogħdija rari jkunu daqstant regolari. Innota d-distakk eżatt bejn ir-riavvii u l-linja tar-raġuni fil-log tal-klijent. Waqfa segwita minn riavviar tgħid storja differenti minn handshake li falla.

Iċċekkja meta bdew ir-riavvii meta mqabbla mat-tieni apparat. Laptop ġdid, telefon jew profil ikkupjat fuq magna żejda huma l-kawżi tas-soltu, u l-ħin normalment jaqbel mal-jum li fih xi ħadd stabbilieh.

Ikteb l-intervall u r-raġuni. It-tnejn huma evidenza, u t-tnejn jinġabru bl-irħis.

Aqra x'qal is-server dwar it-tieni login

Fuq server li tikkontrolla int, il-log isemmi l-isem komuni u juri tieni konnessjoni li tasal. Mingħajr duplicate-cn, dik il-wasla tissostitwixxi s-sessjoni eżistenti għall-istess isem, u l-messaġġ normalment jgħid dan b'mod ċar. B'duplicate-cn, iż-żewġ sessjonijiet jikkoeżistu u s-sintomu jinbidel: il-klijenti jibqgħu attivi iżda jaqsmu sett wieħed ta' settings għal kull klijent u deċiżjoni waħda ta' revoka. Aqra ż-żewġ entrati flimkien, għax is-sostituzzjoni tidher biss fis-sekwenza.

Fuq servizz ospitat jista' ma jkollokx log tas-server xejn. Il-ħjiel imbagħad huwa l-ħin: mina stabbli li taqa' kull darba li magna oħra tikkonnettja, u xejn fil-log tal-klijent ħlief il-waqfa.

Qabbel il-blokki taċ-ċertifikat u tal-muftieħ fiż-żewġ profili, mhux biss l-isem tal-host imbiegħed. Il-profili kkupjati normalment ivarjaw biss fl-isem tal-fajl.

Aqsam l-identità fuq in-naħa tas-server

Oħroġ ċertifikat wieħed għal kull apparat permezz tas-CA li tiffirma għal dan is-server. Bl-Easy-RSA dan ifisser isem tal-klijent separat għal kull apparat, u l-profil imbagħad jinbena minn dak iċ-ċertifikat u l-muftieħ tiegħu. L-isem komuni jsir l-identità tal-apparat, u dan huwa eżattament dak li kien nieqes mis-server. Semmihom għall-apparat u mhux għall-persuna, biex sostituzzjoni tipproduċi isem ġdid.

Il-muftieħ kondiviż tal-kanal ta' kontroll huwa ħaġa separata. tls-crypt jew tls-auth jipproteġi l-kanal ta' kontroll għal kull klijent u huwa maħsub biex jiġi kondiviż. Mhuwiex identità tal-klijent, u s-sostituzzjoni tiegħu mhix se ssewwi ċertifikat doppju.

Żomm iċ-ċertifikat, il-muftieħ u kwalunkwe fajl ta' konfigurazzjoni għal kull klijent taħt l-istess isem komuni, inkella l-immappjar jinqasam fil-konnessjoni li jmiss. Nuqqas ta' qbil hemmhekk jipproduċi klijent li jawtentika u mbagħad ma jirċievi xejn.

Żomm l-indirizzi u s-settings allinjati wara l-qsim

L-indirizzi fissi jdaħħlu t-tieni mod kif taħbat. Jekk is-server jallokahom permezz ta' ifconfig-pool-persist jew fajl għal kull klijent, dawk ir-rekords għadhom jindikaw l-isem il-qadim. Żewġ apparati jistgħu jsibu ruħhom bl-istess indirizz tal-mina anki wara li ċ-ċertifikati jinqasmu, u dan il-ħsara jidher differenti mil-linja oriġinali.

Aġġorna l-immappjar fl-istess ħin maċ-ċertifikat, imbagħad erġa' qabbad iż-żewġ apparati u qabbel l-indirizzi mogħtija lilhom. Indirizz doppju jidher bħala telf intermittenti u mhux bħala rikonnessjoni nadifa.

Ibgħat is-settings li għandhom ivarjaw għal kull apparat permezz tal-fajl tal-apparat stess, mhux permezz ta' mudell kondiviż. Mudell kondiviż jagħmel id-duplikat li jmiss ukoll aktar diffiċli biex jintgħaraf.

Irtira l-identità l-qadima kif suppost

Irrevoka ċ-ċertifikat meta l-ħardwer jiġi rtirat jew nieqes, minflok ma tħassar il-profil mill-magna l-qadima. Ir-revoka tipproduċi CRL ġdid, u s-server għandu bżonn dak il-fajl fejn jindika crl-verify. B'dik id-direttiva f'postha, CRL nieqes jew li ma jinqarax iġiegħel is-server jirrifjuta kull klijent, għalhekk ipprova kont wieħed magħruf wara kull aġġornament.

Żomm inventarju li jgħaqqad kull ċertifikat ma' persuna jew apparat, bid-dati tal-ħruġ u tar-revoka. Dak l-inventarju jwieġeb min għad għandu aċċess mingħajr ma jaqra ismijiet ta' fajls, u jżomm il-profil ikkupjat li jmiss milli jerġa' jibda l-linja.