Dve zariadenia, jeden certifikát OpenVPN: slučka opätovného pripojenia

Tunel, ktorý naskočí a potom sa každú pol minúty reštartuje, zvyčajne nie je problém šifry ani MTU. Je to jedna identita použitá dvakrát. Server vidí známe common name, prijme novú reláciu ako najnovšiu a staršie zariadenie zistí, že bolo nahradené. Z pohľadu klienta to vyzerá ako neaktívny timeout a reštart, a preto vyšetrovanie tak často začína na nesprávnom mieste.

Začnite intervalom reštartu

Interval je stopa predovšetkým iným. Pravidelný rytmus, ktorý zodpovedá oknu ping-restart, ukazuje na nahrádzanú reláciu, nie na zlyhávajúcu cestu, pretože zlyhania cesty sú málokedy také pravidelné. Zapíšte presný rozdiel medzi reštartmi a riadok s dôvodom v klientskom zázname. Timeout nasledovaný reštartom rozpráva iný príbeh než neúspešný handshake.

Skontrolujte, kedy reštarty začali vo vzťahu k druhému zariadeniu. Nový notebook, telefón alebo profil skopírovaný na záložný stroj sú obvyklé spúšťače a čas zvyčajne zodpovedá dňu, keď ho niekto nastavil.

Zapíšte interval a dôvod. Oboje je dôkaz a oboje sa zbiera lacno.

Prečítajte, čo server povedal o druhom prihlásení

Na serveri, ktorý ovládate, záznam uvádza common name a ukazuje druhé prichádzajúce pripojenie. Bez duplicate-cn toto prichádzajúce pripojenie nahradí existujúcu reláciu pre rovnaké meno a správa to zvyčajne povie priamo. S duplicate-cn obe relácie koexistujú a príznak sa mení: klienti zostávajú pripojení, ale zdieľajú jednu sadu nastavení na klienta a jedno rozhodnutie o odvolaní. Čítajte oba záznamy spolu, pretože nahradenie je viditeľné len v postupnosti.

Pri hostovanej službe nemusíte mať žiadny serverový záznam. Stopou je potom časovanie: stabilný tunel, ktorý padne vždy, keď sa pripojí iný stroj, a v klientskom zázname nič okrem timeoutu.

Porovnajte bloky certifikátu a kľúča v oboch profiloch, nielen vzdialené meno hostiteľa. Skopírované profily sa zvyčajne líšia len názvom súboru.

Rozdeľte identitu na strane servera

Vydajte jeden certifikát na zariadenie cez CA, ktorá podpisuje pre tento server. S Easy-RSA to znamená samostatné klientske meno pre každé zariadenie a profil sa potom zostaví z tohto certifikátu a jeho kľúča. Common name sa stáva identitou zariadenia a presne to serveru chýbalo. Pomenujte ich podľa zariadenia, nie podľa osoby, aby výmena priniesla nové meno.

Zdieľaný kľúč riadiaceho kanála je samostatná vec. tls-crypt alebo tls-auth chráni riadiaci kanál pre každého klienta a je určený na zdieľanie. Nie je to identita klienta a jeho výmena neopraví duplikovaný certifikát.

Držte certifikát, kľúč a každý klientsky konfiguračný súbor pod rovnakým common name, inak sa mapovanie pri ďalšom pripojení rozbije. Nezhoda tam vytvorí klienta, ktorý sa overí a potom nič nedostane.

Po rozdelení udržujte adresy a nastavenia zladené

Pevné adresy zavádzajú druhý spôsob kolízie. Ak ich server prideľuje cez ifconfig-pool-persist alebo súbor na klienta, tie záznamy stále ukazujú na staré meno. Dve zariadenia môžu dostať rovnakú adresu tunela aj po rozdelení certifikátov a táto porucha vyzerá inak ako pôvodná slučka.

Aktualizujte mapovanie súčasne s certifikátom, potom znova pripojte obe zariadenia a porovnajte ich pridelené adresy. Duplicitná adresa sa prejaví ako prerušované straty, nie ako čisté opätovné pripojenie.

Nastavenia, ktoré sa majú líšiť podľa zariadenia, posielajte cez vlastný súbor daného zariadenia, nie cez spoločnú šablónu. Spoločná šablóna tiež sťažuje odhalenie ďalšieho duplikátu.

Vyraďte starú identitu riadne

Odvolajte certifikát, keď sa hardvér vyraďuje alebo chýba, namiesto mazania profilu zo starého stroja. Odvolanie vytvorí nový CRL a server potrebuje ten súbor tam, kam ukazuje crl-verify. S touto direktívou na mieste spôsobí chýbajúci alebo nečitateľný CRL, že server odmietne každého klienta, preto po každej aktualizácii otestujte jeden známy účet.

Veďte inventár, ktorý spája každý certifikát s osobou alebo zariadením, s dátumami vydania a odvolania. Ten inventár odpovedá, kto ešte má prístup, bez čítania názvov súborov, a bráni tomu, aby ďalší skopírovaný profil znova spustil slučku.