To einingar, eitt OpenVPN-sertifikat: gjenoppkoplingsløkka

Ein tunnel som kjem opp og deretter startar på nytt kvart halvminutt, er som regel ikkje eit cipher- eller MTU-problem. Det er éin identitet som vert brukt to gonger. Tenaren ser eit kjent common name, tek den nye økta som den nyaste, og den eldre eininga oppdagar at ho er erstatta. Frå klientsida ser det ut som ein inaktivitets-timeout og ein omstart, og difor byrjar granskinga so ofte på feil stad.

Byrj med omstartsintervallet

Intervallet er eit spor før noko anna. Ein jamn takt som passar med ping-restart-vindauget peikar på ei økt som vert erstatta, ikkje ein sviktande rute, fordi rutefeil sjeldan er so regelmessige. Noter det nøyaktige intervallet mellom omstartane og årsakslinja i klientloggen. Ein timeout etterfylgd av ein omstart fortel ei anna historie enn eit mislukka handtrykk.

Sjekk når omstartane byrja i høve til ei anna eining. Ein ny berbar PC, ein telefon eller ein profil kopiert til ein reservemaskin er dei vanlege utløysarane, og tidspunktet passar som regel med dagen nokon sette han opp.

Skriv ned intervallet og årsaka. Båe er bevis, og båe er billege å samle.

Les kva tenaren sa om den andre innlogginga

På ein tenar du kontrollerer, namngjev loggen common name og viser ei andre tilkopling som kjem inn. Utan duplicate-cn erstattar den ankomsten den eksisterande økta for same namn, og meldinga seier det som regel rett ut. Med duplicate-cn lever båe øktene side om side, og symptomet endrar seg: klientane blir oppe, men deler eitt sett innstillingar per klient og éi tilbakekallingsavgjerd. Les dei to oppføringane saman, fordi erstatninga berre er synleg i rekkjefølgje.

På ein hosta teneste har du kanskje ingen tenarlogg i det heile. Sporet er då tidspunktet: ein stabil tunnel som fell kvar gong ein annan maskin koplar til, og ingenting i klientloggen utover timeouten.

Samanlikn sertifikat- og nøkkelblokkene i båe profilane, ikkje berre det eksterne vertsnamnet. Kopierte profilar skil seg som regel berre i filnamnet.

Del identiteten på tenarsida

Utferd eitt sertifikat per eining gjennom CA-en som signerer for denne tenaren. Med Easy-RSA tyder det eit eige klientnamn for kvar eining, og profilen vert deretter bygd frå det sertifikatet og nøkkelen. Common name vert identiteten til eininga, og det er nettopp det tenaren mangla. Namngjev dei etter eininga og ikkje personen, slik at ei utskifting gjev eit nytt namn.

Den delte styrekanalnøkkelen er ei anna sak. tls-crypt eller tls-auth vernar styrekanalen for kvar klient og er meint å delast. Han er ikkje ein klientidentitet, og å byte han rettar ikkje eit duplisert sertifikat.

Hald sertifikatet, nøkkelen og kvar klientkonfigurasjonsfil under same common name, elles bryt mappinga ved neste tilkopling. Uoverenskomst der gjev ein klient som autentiserer og deretter ikkje mottek noko.

Hald adresser og innstillingar på line etter delinga

Faste adresser innfører ein andre måte å kollidere på. Viss tenaren tildeler dei via ifconfig-pool-persist eller ei fil per klient, peikar dei oppføringane framleis på det gamle namnet. To einingar kan enda med same tunneladresse sjølv etter at sertifikata er skilde, og den feilen ser annleis ut enn den opphavlege løkka.

Oppdater mappinga samstundes med sertifikatet, kople deretter båe einingane til på nytt og samanlikn adressene dei fekk. Ei duplisert adresse viser seg som periodisk tap i staden for ein rein gjenoppkopling.

Send innstillingar som skal vere ulike per eining gjennom fila til den eininga sjølv, ikkje gjennom ein delt mal. Ein delt mal gjer òg neste duplikat vanskelegare å oppdage.

Avvikle den gamle identiteten ordentleg

Tilbakekall sertifikatet når maskinvara vert avvikla eller manglar, i staden for å slette profilen frå den gamle maskinen. Tilbakekallinga produserer ein ny CRL, og tenaren treng den fila der crl-verify peikar. Med det direktivet på plass gjer ein manglande eller uleseleg CRL at tenaren avviser kvar klient, so test éin kjend konto etter kvar oppdatering.

Hald eit register som bind kvart sertifikat til ein person eller ei eining, med utferdings- og tilbakekallingsdatoar. Det registeret svarer på kven som framleis har tilgang utan å lese filnamn, og det hindrar den neste kopierte profilen i å starte løkka på nytt.