Dve napravi, en certifikat OpenVPN: zanka ponovnega povezovanja

Predor, ki se dvigne in nato vsake pol minute znova zažene, običajno ni težava šifre ali MTU. To je ena identiteta, uporabljena dvakrat. Strežnik vidi znano skupno ime, novo sejo vzame kot najnovejšo, in starejša naprava odkrije, da je bila zamenjana. Z odjemalske strani je to videti kot časovna omejitev nedejavnosti in ponovni zagon, zato preiskava tako pogosto začne na napačnem mestu.

Začnite z intervalom ponovnega zagona

Interval je namig pred vsem drugim. Enakomeren ritem, ki se ujema z oknom ping-restart, kaže na zamenjano sejo in ne na odpovedujočo pot, ker so odpovedi poti redko tako redne. Zapišite natančno vrzel med ponovnimi zagoni in vrstico razloga v odjemalskem dnevniku. Časovna omejitev, ki ji sledi ponovni zagon, pripoveduje drugačno zgodbo kot neuspel rokovanje.

Preverite, kdaj so se ponovni zagoni začeli glede na drugo napravo. Nov prenosnik, telefon ali profil, kopiran na rezervni stroj, so običajni sprožilci, in čas se običajno ujema z dnem, ko ga je nekdo nastavil.

Zapišite interval in razlog. Oboje je dokaz in oboje je poceni zbrati.

Preberite, kaj je strežnik rekel o drugi prijavi

Na strežniku, ki ga nadzorujete, dnevnik navede skupno ime in pokaže drugo prihajajočo povezavo. Brez duplicate-cn ta prihod nadomesti obstoječo sejo za isto ime, in sporočilo to običajno pove naravnost. Z duplicate-cn obe seji sobivata in simptom se spremeni: odjemalci ostanejo povezani, vendar si delijo en nabor nastavitev na odjemalca in eno odločitev o preklicu. Berite oba vnosa skupaj, ker je zamenjava vidna le v zaporedju.

Pri gostovani storitvi morda ne boste imeli nobenega strežniškega dnevnika. Namig je potem čas: stabilen predor, ki pade vsakič, ko se poveže drug stroj, v odjemalskem dnevniku pa ni ničesar razen časovne omejitve.

Primerjajte bloka certifikata in ključa v obeh profilih, ne le imena oddaljenega gostitelja. Kopirani profili se običajno razlikujejo le po imenu datoteke.

Ločite identiteto na strani strežnika

Izdajte en certifikat na napravo prek CA, ki podpisuje za ta strežnik. Z Easy-RSA to pomeni ločeno odjemalsko ime za vsako napravo, profil pa se nato zgradi iz tega certifikata in njegovega ključa. Skupno ime postane identiteta naprave, in prav to je strežniku manjkalo. Poimenujte jih po napravi in ne po osebi, da zamenjava ustvari novo ime.

Skupni ključ krmilnega kanala je ločena stvar. tls-crypt ali tls-auth ščiti krmilni kanal za vsakega odjemalca in je namenjen deljenju. Ni identiteta odjemalca, in njegova zamenjava ne bo popravila podvojenega certifikata.

Držite certifikat, ključ in vsako odjemalsko konfiguracijsko datoteko pod istim skupnim imenom, sicer se preslikava ob naslednji povezavi zlomi. Neujemanje tam ustvari odjemalca, ki se overi in nato ničesar ne prejme.

Po ločitvi ohranite naslove in nastavitve usklajene

Fiksni naslovi vnašajo drug način trka. Če jih strežnik dodeljuje prek ifconfig-pool-persist ali datoteke na odjemalca, te evidence še vedno kažejo na staro ime. Dve napravi lahko dobita isti naslov predora tudi po ločitvi certifikatov, in ta okvara je videti drugače od prvotne zanke.

Posodobite preslikavo hkrati s certifikatom, nato znova povežite obe napravi in primerjajte dodeljene naslove. Podvojen naslov se pokaže kot občasna izguba in ne kot čista ponovna povezava.

Pošiljajte nastavitve, ki se morajo razlikovati po napravi, prek lastne datoteke te naprave, ne prek skupne predloge. Skupna predloga tudi oteži opazovanje naslednje podvojitve.

Umaknite staro identiteto, kot je treba

Prekličite certifikat, ko je strojna oprema umaknjena ali manjka, namesto da izbrišete profil s starega stroja. Preklic ustvari nov CRL, in strežnik potrebuje to datoteko tam, kam kaže crl-verify. S to direktivo na mestu manjkajoč ali neberljiv CRL povzroči, da strežnik zavrne vsakega odjemalca, zato po vsaki posodobitvi preizkusite en znan račun.

Vodite inventar, ki vsak certifikat poveže z osebo ali napravo, z datumi izdaje in preklica. Ta inventar odgovori, kdo še ima dostop, ne da bi brali imena datotek, in prepreči, da bi naslednji kopirani profil znova zagnal zanko.