Два уређаја, један OpenVPN сертификат: циклус поновног повезивања

Тунел који се подигне и затим рестартује сваких пола минута обично није проблем шифре ни MTU-а. То је један идентитет који се користи двапут. Сервер види познато уобичајено име, прихвата нову сесију као најновију, а старији уређај открива да је замењен. Са клијентске стране то изгледа као истек неактивности и рестарт, зато истрага тако често почиње на погрешном месту.

Почните од интервала рестартовања

Интервал је траг пре свега другог. Равномеран ритам који се поклапа са прозором ping-restart указује на сесију која се замењује, а не на пут који отказује, јер кварови пута ретко су тако правилни. Запишите тачан размак између рестартовања и ред са разлогом у клијентском дневнику. Истек прослеђен рестартом прича другу причу од неуспелог руковања.

Проверите када су рестартовања почела у односу на други уређај. Нови преносни рачунар, телефон или профил копиран на резервну машину уобичајени су окидачи, и време се обично поклапа са даном када га је неко подесио.

Запишите интервал и разлог. Обоје је доказ и обоје се јефтино прикупља.

Прочитајте шта је сервер рекао о другој пријави

На серверу који контролишете, дневник наводи уобичајено име и показује другу везу која долази. Без duplicate-cn та веза замењује постојећу сесију за исто име, и порука то обично каже јасно. Са duplicate-cn обе сесије постоје заједно и симптом се мења: клијенти остају повезани, али деле један скуп поставки по клијенту и једну одлуку о опозиву. Читајте два уноса заједно, јер је замена видљива само у низу.

На хостованој услузи можда немате никакав серверски дневник. Тада је траг време: стабилан тунел који пада кад год се повеже друга машина, а у клијентском дневнику нема ничега осим истека.

Упоредите блокове сертификата и кључа у оба профила, не само име удаљеног домаћина. Копирани профили обично се разликују само по имену датотеке.

Раздвојите идентитет на страни сервера

Издајте један сертификат по уређају преко CA која потписује за овај сервер. Са Easy-RSA то значи засебно клијентско име за сваки уређај, а профил се затим гради од тог сертификата и његовог кључа. Уобичајено име постаје идентитет уређаја, и то је управо оно што је серверу недостајало. Именујте их по уређају, а не по особи, да би замена дала ново име.

Дељени кључ контролног канала је засебна ствар. tls-crypt или tls-auth штити контролни канал за сваког клијента и намењен је дељењу. Он није идентитет клијента, и његова замена неће поправити дуплирани сертификат.

Држите сертификат, кључ и сваку конфигурациону датотеку по клијенту под истим уобичајеним именом, иначе се мапирање ломи при следећој вези. Неслагање тамо ствара клијента који се аутентификује и затим не прима ништа.

Након поделе одржавајте адресе и поставке усклађеним

Фиксне адресе уводе други начин судара. Ако их сервер додељује кроз ifconfig-pool-persist или датотеку по клијенту, ти записи још показују на старо име. Два уређаја могу добити исту адресу тунела чак и након раздвајања сертификата, и тај квар изгледа другачије од изворног циклуса.

Ажурирајте мапирање истовремено са сертификатом, затим поново повежите оба уређаја и упоредите додељене адресе. Дуплирана адреса се показује као наизменични губитак, а не као чисто поновно повезивање.

Поставке које треба да се разликују по уређају шаљите кроз сопствену датотеку тог уређаја, не кроз заједнички шаблон. Заједнички шаблон и следећи дупликат чини теже уочљивим.

Повуците стари идентитет како треба

Опозовите сертификат када се хардвер повлачи или недостаје, уместо да бришете профил са старе машине. Опозив ствара нови CRL, и серверу је потребна та датотека тамо где показује crl-verify. Са том директивом на месту, недостајући или нечитљив CRL тера сервер да одбије сваког клијента, зато тестирајте један познати налог после сваког ажурирања.

Водите инвентар који повезује сваки сертификат са особом или уређајем, са датумима издавања и опозива. Тај инвентар одговара ко још има приступ без читања имена датотека, и спречава следећи копирани профил да поново започне циклус.