To enheter, ett OpenVPN-sertifikat: gjenoppkoblingsløkken

En tunnel som kommer opp og deretter starter på nytt hvert halvminutt, er som regel ikke et cipher- eller MTU-problem. Det er én identitet som brukes to ganger. Serveren ser et kjent common name, tar den nye økten som den nyeste, og den eldre enheten oppdager at den er erstattet. Fra klientsiden ser det ut som en inaktivitets-timeout og en omstart, og derfor begynner undersøkelsen så ofte på feil sted.

Begynn med omstartsintervallet

Intervallet er et spor før noe annet. En jevn takt som passer med ping-restart-vinduet peker på en økt som erstattes, ikke en sviktende rute, fordi rutefeil sjelden er så regelmessige. Noter det nøyaktige intervallet mellom omstartene og årsakslinjen i klientloggen. En timeout etterfulgt av en omstart forteller en annen historie enn et mislykket håndtrykk.

Sjekk når omstartene begynte i forhold til en annen enhet. En ny bærbar PC, en telefon eller en profil kopiert til en reservemaskin er de vanlige utløserne, og tidspunktet passer som regel med dagen noen satte den opp.

Skriv ned intervallet og årsaken. Begge er bevis, og begge er billige å samle.

Les hva serveren sa om den andre innloggingen

På en server du kontrollerer, navngir loggen common name og viser en andre tilkobling som kommer inn. Uten duplicate-cn erstatter den ankomsten den eksisterende økten for samme navn, og meldingen sier det som regel rett ut. Med duplicate-cn lever begge øktene side om side, og symptomet endres: klientene blir oppe, men deler ett sett innstillinger per klient og én tilbakekallingsbeslutning. Les de to oppføringene sammen, fordi erstatningen bare er synlig i rekkefølge.

På en hostet tjeneste har du kanskje ingen serverlogg i det hele tatt. Sporet er da tidspunktet: en stabil tunnel som faller hver gang en annen maskin kobler til, og ingenting i klientloggen utover timeouten.

Sammenlign sertifikat- og nøkkelblokkene i begge profilene, ikke bare det eksterne vertsnavnet. Kopierte profiler skiller seg som regel bare i filnavnet.

Del identiteten på serversiden

Utsted ett sertifikat per enhet gjennom CA-en som signerer for denne serveren. Med Easy-RSA betyr det et eget klientnavn for hver enhet, og profilen bygges deretter fra det sertifikatet og nøkkelen. Common name blir enhetens identitet, og det er nettopp det serveren manglet. Navngi dem etter enheten og ikke personen, slik at en utskifting gir et nytt navn.

Den delte styrekanalnøkkelen er en annen sak. tls-crypt eller tls-auth beskytter styrekanalen for hver klient og er ment å deles. Den er ikke en klientidentitet, og å bytte den retter ikke et duplisert sertifikat.

Hold sertifikatet, nøkkelen og enhver klientkonfigurasjonsfil under samme common name, ellers bryter mappingen ved neste tilkobling. Uoverensstemmelse der gir en klient som autentiserer og deretter ikke mottar noe.

Hold adresser og innstillinger på linje etter delingen

Faste adresser innfører en andre måte å kollidere på. Hvis serveren tildeler dem via ifconfig-pool-persist eller en fil per klient, peker de oppføringene fortsatt på det gamle navnet. To enheter kan ende med samme tunneladresse selv etter at sertifikatene er skilt, og den feilen ser annerledes ut enn den opprinnelige løkken.

Oppdater mappingen samtidig med sertifikatet, koble deretter begge enhetene til på nytt og sammenlign adressene de fikk. En duplisert adresse viser seg som periodisk tap i stedet for en ren gjenoppkobling.

Send innstillinger som skal være forskjellige per enhet gjennom den enhetens egen fil, ikke gjennom en delt mal. En delt mal gjør også neste duplikat vanskeligere å oppdage.

Avvikle den gamle identiteten ordentlig

Tilbakekall sertifikatet når maskinvaren avvikles eller mangler, i stedet for å slette profilen fra den gamle maskinen. Tilbakekallingen produserer en ny CRL, og serveren trenger den filen der crl-verify peker. Med det direktivet på plass gjør en manglende eller uleselig CRL at serveren avviser hver klient, så test én kjent konto etter hver oppdatering.

Hold et register som binder hvert sertifikat til en person eller enhet, med utstedelses- og tilbakekallingsdatoer. Det registeret svarer på hvem som fortsatt har tilgang uten å lese filnavn, og det hindrer den neste kopierte profilen i å starte løkken på nytt.