Dy pajisje, një certifikatë OpenVPN: cikli i rilidhjes

Një tunel që ngrihet dhe pastaj rinis çdo gjysmë minute zakonisht nuk është problem i shifrimit apo i MTU-së. Është një identitet i përdorur dy herë. Serveri sheh një emër të përbashkët të njohur, e merr sesionin e ri si më të fundit, dhe pajisja më e vjetër zbulon se është zëvendësuar. Nga ana e klientit kjo duket si skadim i paveprimtarisë dhe rinisje, prandaj hetimi aq shpesh fillon në vendin e gabuar.

Filloni nga intervali i rinisjes

Intervali është një të dhënë para çdo gjëje tjetër. Një ritëm i njëtrajtshëm që përputhet me dritaren ping-restart tregon një sesion që zëvendësohet, jo një rrugë që dështon, sepse dështimet e rrugës rrallë janë kaq të rregullta. Shënoni hendekun e saktë mes rinisjeve dhe rreshtin e arsyes në logun e klientit. Një skadim i ndjekur nga rinisje tregon një histori tjetër nga një shtrëngim duarsh i dështuar.

Kontrolloni kur filluan rinisjet në raport me një pajisje të dytë. Një laptop i ri, një telefon ose një profil i kopjuar në një makinë rezervë janë shkaktarët e zakonshëm, dhe koha zakonisht përputhet me ditën kur dikush e konfiguroi.

Shënoni intervalin dhe arsyen. Të dyja janë prova, dhe të dyja mblidhen lirë.

Lexoni çfarë tha serveri për hyrjen e dytë

Në një server që ju kontrolloni, logu emërton emrin e përbashkët dhe tregon një lidhje të dytë që mbërrin. Pa duplicate-cn ajo mbërritje zëvendëson sesionin ekzistues për të njëjtin emër, dhe mesazhi zakonisht e thotë hapur. Me duplicate-cn të dy sesionet bashkëjetojnë dhe simptoma ndryshon: klientët mbeten aktivë por ndajnë një grup cilësimesh për klient dhe një vendim anulimi. Lexojini të dy shënimet bashkë, sepse zëvendësimi shihet vetëm në sekuencë.

Në një shërbim të strehuar mund të mos keni fare log serveri. Të dhëna është atëherë koha: një tunel i qëndrueshëm që bie sa herë lidhet një makinë tjetër, pa asgjë në logun e klientit përveç skadimit.

Krahasoni blloqet e certifikatës dhe të çelësit në të dy profilet, jo vetëm emrin e strehuesit të largët. Profilet e kopjuara zakonisht ndryshojnë vetëm në emrin e skedarit.

Ndani identitetin në anën e serverit

Lëshoni një certifikatë për pajisje përmes CA-së që nënshkruan për këtë server. Me Easy-RSA kjo do të thotë një emër klienti i veçantë për çdo pajisje, dhe profili ndërtohet pastaj nga ajo certifikatë dhe çelësi i saj. Emri i përbashkët bëhet identiteti i pajisjes, dhe pikërisht kjo i mungonte serverit. Emërtojini sipas pajisjes dhe jo personit, që zëvendësimi të prodhojë një emër të ri.

Çelësi i përbashkët i kanalit të kontrollit është gjë më vete. tls-crypt ose tls-auth mbron kanalin e kontrollit për çdo klient dhe është menduar të ndahet. Nuk është identitet klienti, dhe zëvendësimi i tij nuk rregullon një certifikatë të dyfishuar.

Mbani certifikatën, çelësin dhe çdo skedar konfigurimi për klient nën të njëjtin emër të përbashkët, përndryshe hartëzimi thyhet në lidhjen tjetër. Një mospërputhje atje prodhon një klient që autentikohet dhe pastaj nuk merr asgjë.

Mbani adresat dhe cilësimet të rreshtuara pas ndarjes

Adresat fikse sjellin një mënyrë të dytë përplasjeje. Nëse serveri i cakton ato përmes ifconfig-pool-persist ose një skedari për klient, ato regjistrime ende tregojnë emrin e vjetër. Dy pajisje mund të përfundojnë me të njëjtën adresë tuneli edhe pasi certifikatat të jenë ndarë, dhe ai dështim duket ndryshe nga cikli fillestar.

Përditësoni hartëzimin në të njëjtën kohë me certifikatën, pastaj rilidhni të dyja pajisjet dhe krahasoni adresat e dhëna. Një adresë e dyfishuar shfaqet si humbje me ndërprerje dhe jo si rilidhje e pastër.

Dërgoni cilësimet që duhet të ndryshojnë sipas pajisjes përmes skedarit të vetë asaj pajisjeje, jo përmes një modeli të përbashkët. Një model i përbashkët e bën edhe dublimin tjetër më të vështirë për t'u vënë re.

Tërhiqni si duhet identitetin e vjetër

Anuloni certifikatën kur hardueri tërhiqet ose mungon, në vend që të fshini profilin nga makina e vjetër. Anulimi prodhon një CRL të re, dhe serveri ka nevojë për atë skedar atje ku tregon crl-verify. Me atë direktivë në vend, një CRL që mungon ose nuk lexohet bën që serveri të refuzojë çdo klient, prandaj provoni një llogari të njohur pas çdo përditësimi.

Mbani një inventar që lidh çdo certifikatë me një person ose pajisje, me datat e lëshimit dhe të anulimit. Ai inventar përgjigjet se kush ka ende akses pa lexuar emrat e skedarëve, dhe pengon profilin tjetër të kopjuar të rinisë ciklin.