duplicate-cn ले दुई उपकरणलाई एउटै पहिचान दिन्छ, दुई होइन

प्रोफाइल ट्याब्लेटमा प्रतिलिपि गर्नुहोस्, जडान गर्नुहोस्, र ल्यापटप बाहिरिन्छ। duplicate-cn थप्नुहोस्, दुवै जोडिएका रहन्छन्, र समस्या समाधान भएको देखिन्छ — दुई उपकरण एउटै टनेल ठेगानाका लागि भिड्न वा हराएको ट्याब्लेटले सम्पूर्ण खाता अफलाइन नबनाउन्जेल। यो विकल्प एउटा मात्र कुरा बदल्छ: सर्भरले पहिले देखेको नाममुनि दोस्रो सत्रलाई अनुमति दिन्छ कि दिँदैन। उपकरण स्वतन्त्रतादेखि प्रति-उपकरण ठेगाना र छनोट रद्दीकरणसम्म मानिसहरूले अपेक्षा गर्ने सबै अझै पहिचानबाटै हुन्छ, र यहाँ पहिचान भनेको प्रमाणपत्र हो।

मिथक: दोस्रो सत्र भनेको दोस्रो पहिचान हो

दुई जडान दुई ग्राहक हुनुपर्छ, र दुई ग्राहक आफ्नै अधिकार भएका दुई उपकरण हुनुपर्छ भन्ने अन्तर्ज्ञान हो। सर्भरले त्यसरी मोडेल गर्दैन। यसले एउटा साझा नाम देख्छ, र duplicate-cn सक्रिय हुँदा त्यो नाम बोकेका एकभन्दा बढी जीवित सत्र स्वीकार गर्छ, र प्रत्येकले डेमनमा आफ्नै सत्र अवस्था पाउँछ।

त्यो स्वीकृतिले प्रमाणपत्र प्रमाणीकरणलाई केही पनि छुँदैन। उही प्रमाणपत्र नै अझै प्रमाण हो, उही कुञ्जी नै अझै निजी कुञ्जी हो, र प्रमाणपत्रको विषयमा आधारित कुनै पनि नीति अझै दुई पटक उही मानमा पुग्छ। दोस्रो सत्र दोस्रो सकेट हो, दोस्रो पहिचान होइन।

सबै चलिरहेको बेला त्यो भिन्नता अदृश्य हुन्छ। दुई उपकरण छुट्याउनुपर्ने क्षणमा यो धेरै देखिने हुन्छ — र सामान्यतया त्यो तिनमध्ये एउटा हराउने दिन हो।

दुई सत्रले एउटै नाम साझा गर्दा वास्तवमा के बदलिन्छ

विकल्प बिना, पहिले नै जोडिएको साझा नाममुनिको नयाँ जडानले अघिल्लो सत्रलाई हटाउँछ। ट्याब्लेट जोडिँदा ल्यापटप बाहिरिनुको कारण त्यही हो, र यो बग होइन, जानाजानको अस्पष्टता-संरक्षण हो। विकल्पसँग दुवै सत्र जीवित रहन्छन् र सर्भरले तिनलाई उपकरणअनुसार होइन, सत्रअनुसार छुट्टाछुट्टै ट्र्याक गर्छ।

प्रत्येक सत्रले अझै आफ्नै बाह्य जडान र आफ्नै वार्तालाप गरिएका कुञ्जीहरू पाउँछ, त्यसैले समवर्ती थ्रुपुट साँच्चै समवर्ती हुन्छ। तिनले साझा गर्ने सबै प्रमाणबाट निस्केको हुन्छ: नीति खोज, ग्राहक-विशेष कन्फिगरेसन, लगमा पहिचान र रद्दीकरण। सत्र अवस्था जडानको हुन्छ र त्यसैसँग मर्छ, जबकि प्रमाण-तहका तथ्यहरू दुवैका लागि रहन्छन्। त्यसैले स्थिति आउटपुटले एउटै नाम दुई पटक सूचीबद्ध गर्न सक्छ जबकि काउन्टरहरू छुट्टै रहन्छन्।

त्यसमाथि डिजाइन गर्नुअघि तपाईंको बिल्डले वास्तवमा के गर्छ भनी पुष्टि गर्नुहोस्, किनकि विकल्पको प्रभाव विकल्प आफैले निर्धारण गर्छ, लोककथाले होइन:

grep -n 'duplicate-cn\|client-config-dir\|username-as-common-name' /etc/openvpn/server.conf

तपाईंले तोक्यौँ भन्ने ठानेको स्थिर ठेगाना

प्रति-ग्राहक कन्फिगरेसन नामबाट खोजिन्छ, र त्यहीँ जाल छ। साझा नामबाट नाम राखिएको client-config-dir फाइल त्यो नाम प्रयोग गर्ने प्रत्येक उपकरणमा लागू हुन्छ, त्यसैले त्यसभित्रको ifconfig-push ले दुवै उपकरणलाई एउटै टनेल ठेगाना दिन्छ। दोस्रो सत्र या त स्थापित हुँदैन, या राउटिङ खराबीजस्तो देखिने तरिकाले ठोकिन्छ।

गतिशील पूल संयोगवश राम्रो व्यवहार गर्छ, किनकि प्रत्येक सत्रलाई पूलबाट स्वतन्त्र रूपमा ठेगाना दिइन्छ। त्यसले अझै तपाईंलाई प्रति-उपकरण स्थिर ठेगाना दिँदैन, र त्यो ठेगानासँग बाँधिएको प्रति-उपकरण नीति त पक्कै दिँदैन।

यदि परिनियोजनले username-as-common-name प्रयोग गर्छ भने, खोज-कुञ्जी प्रमाणपत्रको विषयको सट्टा प्रमाणित प्रयोगकर्ता नाम बन्छ, र दुई पटक लगइन गर्ने जो कोहीलाई उही ठक्कर हुन्छ। कन्फिगरेसन चलाउने नाम प्रति-उपकरण अद्वितीय हुनुपर्छ, तब मात्र प्रति-उपकरण कन्फिगरेसनको अर्थ हुन्छ।

हटाउने बेला साझा पहिचानले के गर्न सक्दैन

रद्दीकरण प्रमाणपत्रमा काम गर्छ, देखाइएको नाममा होइन र सत्रमा पनि होइन। त्यो प्रमाणपत्र रद्द गर्नुहोस् — प्रतिलिपि भएको प्रत्येक उपकरणले एकैपटक पहुँच गुमाउँछ, कार्यालयमा रहेको र कसैले दुःख नदिन चाहेको उपकरण पनि समेत। यसलाई राख्नुहोस् — हराएको उपकरण चलिरहन्छ, किनकि प्रोटोकलमा यसलाई स्वीकृत प्रतिलिपिबाट छुट्याउने केही छैन।

लगहरूले पनि त्यही अस्पष्टता पाउँछन्। स्थिति आउटपुटले साझा नाम र वास्तविक ठेगाना देखाउँछ, र दुवै दुईमध्ये कुनै पनि उपकरणको हुन सक्छ। कुन मेसिनले के गर्यो भन्ने जान्नुपर्ने घटना-समीक्षाले VPN का आफ्नै अभिलेखबाट त्यो प्रश्नको उत्तर दिन सक्दैन, लग स्तरले जति विस्तार दिए पनि।

यसको कुनै क्रिप्टोग्राफिक वैकल्पिक बाटो छैन। एउटै प्रमाणपत्र प्रस्तुत गर्ने दुई उपकरण सर्भरका लागि एउटै सहभागी दुई पटक हुन्, र विपरीत दाबी गर्ने कुनै पनि योजना नियन्त्रण होइन, नामकरणको परम्परा मात्र हो।

साझेदारी कहिले ठीक हुन्छ, र यसलाई कसरी सीमित गर्ने

साझेदारीका वैध प्रयोग छन्: धेरै परीक्षण मेसिनले प्रयोग गर्ने प्रयोगशाला खाता, वा उपकरणहरू सँगै व्यवस्थापन गरिने र रद्दीकरणको सूक्ष्मता महत्त्व नराख्ने घर। त्यस्ता अवस्थामा विकल्प जानाजान सक्रिय गर्नुहोस्, साझा प्रमाणलाई प्रति-उपकरण नीतिबाहिर राख्नुहोस्, र सत्रहरू एउटै ठेगानामा नठोकिन पूललाई ठाउँ दिनुहोस्।

छुट्टै ठेगाना, छुट्टै लग वा छुट्टै हटाउनु पर्ने जुनसुकै कुराका लागि सामान्य दर्ता मार्गबाट छुट्टै प्रमाणपत्र जारी गर्नुहोस्। त्यसले प्रत्येक अर्को प्रणालीलाई भर पर्न छुट्टै वस्तु दिन्छ, र नामहरू पहिले नै अद्वितीय भएकाले विकल्पको महत्त्व रहँदैन।

जुनसुकै बाटो रोज्नुहोस्, लगइन होइन, व्यवस्थापन मोडेल परीक्षण गर्नुहोस्। दुवै उपकरण जोड्नुहोस्, तिनका ठेगाना फरक छन् भनी पुष्टि गर्नुहोस्, त्यसपछि हानिको अनुकरण गरेर तिनमध्ये ठ्याक्कै एउटा हटाउन सकिन्छ कि भनी जाँच्नुहोस्। openvpn(8) पुस्तिका विकल्पको दायरा निर्धारण गर्छ; साझेदारी साँच्चै स्वीकार्य छ कि छैन भन्ने तपाईंको हटाउने प्रक्रियाले निर्धारण गर्छ।