दुई उपकरण, एउटा OpenVPN प्रमाणपत्र: पुनः जडानको लूप

प्रत्येक आधा मिनेटमा माथि आई फेरि सुरु हुने टनेल सामान्यतया साइफर वा MTU को समस्या होइन। यो एउटै पहिचान दुई पटक प्रयोग भइरहेको हो। सर्भरले चिनजानको साझा नाम देख्छ, नयाँ सत्रलाई सबैभन्दा नयाँ मान्छ, र पुरानो उपकरणले आफू प्रतिस्थापित भएको थाहा पाउँछ। क्लाइन्टको तर्फबाट यो निष्क्रियताको समयसीमा र पुनः सुरु भएको जस्तो देखिन्छ, त्यसैले अनुसन्धान प्रायः गलत ठाउँबाट सुरु हुन्छ।

पुनः सुरु हुने अन्तरालबाट सुरु गर्नुहोस्

अन्तराल अरू सबैभन्दा पहिले एउटा सुराग हो। ping-restart विन्डोसँग मिल्ने स्थिर लय बदलिँदै गरेको सत्रतर्फ संकेत गर्छ, असफल मार्गतर्फ होइन, किनकि मार्गका विफलता यति नियमित विरलै हुन्छन्। पुनः सुरु हुनेबीचको ठ्याक्कै अन्तर र क्लाइन्ट लगको कारण-लाइन लेख्नुहोस्। समयसीमा पछिको पुनः सुरु असफल ह्यान्डसेकभन्दा फरक कथा बताउँछ।

दोस्रो उपकरणको तुलनामा पुनः सुरु कहिले भयो हेर्नुहोस्। नयाँ ल्यापटप, फोन वा स्पेयर मेसिनमा प्रतिलिपि गरिएको प्रोफाइल सामान्य कारण हुन्, र समय सामान्यतया कसैले त्यो सेट गरेको दिनसँग मिल्छ।

अन्तराल र कारण लेख्नुहोस्। दुवै प्रमाण हुन्, र दुवै सस्तैमा संकलन गर्न सकिन्छ।

सर्भरले दोस्रो लगइनबारे के भन्यो पढ्नुहोस्

तपाईंले नियन्त्रण गर्ने सर्भरमा लगले साझा नाम बताउँछ र दोस्रो जडान आउँदै गरेको देखाउँछ। duplicate-cn नभए त्यो आगमनले एही नामको विद्यमान सत्र प्रतिस्थापित गर्छ, र सन्देशले सामान्यतया त्यो स्पष्ट भन्छ। duplicate-cn भए दुवै सत्र सँगै रहन्छन् र लक्षण बदलिन्छ: क्लाइन्ट चालु रहन्छन् तर प्रत्येक क्लाइन्टका लागि एउटै सेटिङ्स समूह र एउटै रद्द गर्ने निर्णय साझा गर्छन्। परिवर्तन क्रममा मात्र देखिने भएकाले दुवै प्रविष्टि सँगै पढ्नुहोस्।

होस्टेड सेवामा तपाईंसँग सर्भर लग नै नहुन सक्छ। त्यसपछि सुराग समय हो: अर्को मेसिन जोडिँदा खेरि खस्ने स्थिर टनेल, र क्लाइन्ट लगमा समयसीमाबाहेक केही छैन।

केवल टाढाको होस्टनेम होइन, दुवै प्रोफाइलका प्रमाणपत्र र कुञ्जी ब्लक तुलना गर्नुहोस्। प्रतिलिपि गरिएका प्रोफाइल सामान्यतया फाइल नाममा मात्र फरक हुन्छन्।

सर्भरको तर्फ पहिचान छुट्याउनुहोस्

यो सर्भरका लागि हस्ताक्षर गर्ने CA मार्फत प्रत्येक उपकरणका लागि एउटा प्रमाणपत्र जारी गर्नुहोस्। Easy-RSA सँग यसको अर्थ प्रत्येक उपकरणका लागि छुट्टै क्लाइन्ट नाम हो, र त्यसपछि त्यही प्रमाणपत्र र त्यसको कुञ्जीबाट प्रोफाइल बन्छ। साझा नाम उपकरणको पहिचान बन्छ, र सर्भरलाई ठ्याक्कै त्यही कमी थियो। व्यक्तिको सट्टा उपकरणअनुसार नाम दिनुहोस्, ताकि प्रतिस्थापनले नयाँ नाम दिन्छ।

साझा नियन्त्रण-च्यानल कुञ्जी छुट्टै कुरा हो। tls-crypt वा tls-auth प्रत्येक क्लाइन्टको नियन्त्रण च्यानल सुरक्षित गर्छ र साझा गर्नकै लागि हो। त्यो क्लाइन्ट पहिचान होइन, र त्यो बदल्दा दोहोरो प्रमाणपत्र ठीक हुँदैन।

प्रमाणपत्र, कुञ्जी र प्रत्येक क्लाइन्टको कन्फिगरेसन फाइल एउटै साझा नाममुनि राख्नुहोस्, नभए अर्को जडानमा म्यापिङ भाँचिन्छ। त्यहाँ अमिलता भए प्रमाणीकरण पास गरेर पनि केही नपाउने क्लाइन्ट बन्छ।

विभाजनपछि ठेगाना र सेटिङ्स मिलाएर राख्नुहोस्

स्थिर ठेगानाले ठोकरको दोस्रो बाटो खोल्छ। सर्भरले ती ifconfig-pool-persist वा प्रत्येक क्लाइन्टको फाइलमार्फत दिन्छ भने ती रेकर्ड अझै पुरानो नामतर्फ देखाउँछन्। प्रमाणपत्र छुट्टिएपछि पनि दुई उपकरणलाई एउटै टनेल ठेगाना मिल्न सक्छ, र त्यो विफलता मूल लूपभन्दा फरक देखिन्छ।

प्रमाणपत्रसँगै म्यापिङ अद्यावधिक गर्नुहोस्, त्यसपछि दुवै उपकरण फेरि जोड्नुहोस् र दिइएका ठेगाना तुलना गर्नुहोस्। दोहोरो ठेगाना सफा पुनः जडानको सट्टा रोकिँदै हुने हानिका रूपमा देखिन्छ।

प्रत्येक उपकरणमा फरक हुनुपर्ने सेटिङ्स त्यही उपकरणको आफ्नै फाइलमार्फत पठाउनुहोस्, साझा टेम्प्लेटमार्फत होइन। साझा टेम्प्लेटले अर्को दोहोरोपन पहिचान गर्न पनि गाह्रो बनाउँछ।

पुरानो पहिचान राम्ररी हटाउनुहोस्

हार्डवेयर हटाइँदा वा हराउँदा पुरानो मेसिनबाट प्रोफाइल मेटाउने सट्टा प्रमाणपत्र रद्द गर्नुहोस्। रद्दले नयाँ CRL बनाउँछ, र सर्भरलाई त्यो फाइल crl-verify ले देखाउने ठाउँमा चाहिन्छ। त्यो निर्देश भएको अवस्थामा हराएको वा नपढिने CRL ले सर्भरलाई प्रत्येक क्लाइन्ट अस्वीकार गर्न बाध्य बनाउँछ, त्यसैले प्रत्येक अद्यावधिकपछि एउटा चिनिएको खाता परीक्षण गर्नुहोस्।

प्रत्येक प्रमाणपत्रलाई व्यक्ति वा उपकरणसँग जोड्ने, जारी र रद्द मितिसहितको सूची राख्नुहोस्। त्यो सूचीले फाइल नाम नपढी कसलाई अझै पहुँच छ भनी उत्तर दिन्छ, र अर्को प्रतिलिपि गरिएको प्रोफाइललाई लूप फेरि सुरु गर्न दिँदैन।