duplicate-cn ay nagbibigay ng isang pagkakakilanlan sa dalawang device, hindi dalawa

Kopyahin ang profile sa tablet, kumonekta, at natatanggal ang laptop. Idagdag ang duplicate-cn, mananatiling konektado ang dalawa, at mukhang nalutas ang problema hanggang mag-agawan ang dalawang device sa parehong address ng tunnel o mapatay ng nawawalang tablet ang buong account. Isang bagay lang at isa lang ang binabago ng opsyong ito: kung pinapayagan ng server ang ikalawang session sa ilalim ng pangalang nakita na nito. Lahat ng inaasahang aayusin nito, mula sa kalayaan ng device hanggang sa pag-address sa bawat device at piling pagbawi, ay ginagawa pa rin sa pamamagitan ng pagkakakilanlan, at ang pagkakakilanlan dito ay ang sertipiko.

Ang mito: ang ikalawang session ay ikalawang pagkakakilanlan

Sinasabi ng intuwisyon na ang dalawang koneksyon ay dapat dalawang kliyente, at ang dalawang kliyente ay dapat dalawang device na may sariling karapatan. Hindi ganoon ang pagmomodelo ng server. May nakikita itong isang karaniwang pangalan, at kapag naka-enable ang duplicate-cn tumatanggap ito ng higit sa isang buhay na session na may taglay na pangalang iyon, at bawat isa ay nakakakuha ng sariling estado ng session sa daemon.

Wala sa pagtanggap na iyon ang humahawak sa beripikasyon ng sertipiko. Ang parehong sertipiko ay credential pa rin, ang parehong key ay pribadong key pa rin, at anumang patakaran na nakabatay sa subject ng sertipiko ay dalawang beses pa ring nagsasagawa sa parehong halaga. Ang ikalawang session ay ikalawang socket, hindi ikalawang pagkakakilanlan.

Hindi nakikita ang pagkakaibang iyon habang gumagana ang lahat. Nagiging napakalinaw nito sa sandaling kailangan mong paghiwalayin ang dalawang device, at kadalasan iyon ang araw na mawala ang isa sa kanila.

Ano ang tunay na nagbabago kapag dalawang session ang nagbabahagi ng isang pangalan

Kung wala ang opsyong ito, ang bagong koneksyon sa ilalim ng karaniwang pangalan na konektado na ay nagtataboy sa naunang session. Iyon ang dahilan kung bakit natatanggal ang laptop kapag kumonekta ang tablet, at ito ay sadyang pananggalang laban sa kalabuan, hindi bug. Sa opsyong ito, mananatiling buhay ang dalawang session at sinusubaybayan sila ng server nang hiwalay ayon sa session, hindi ayon sa device.

Bawat session ay nakakakuha pa rin ng sariling panlabas na koneksyon at sariling napagkasunduang key, kaya ang sabay na throughput ay tunay na sabay. Ang pinagsasaluhan nila ay lahat ng nagmumula sa credential: paghahanap ng patakaran, configuration na partikular sa kliyente, pagkakakilanlan sa log at pagbawi. Ang estado ng session ay pag-aari ng koneksyon at namamatay kasama nito, habang ang mga katotohanan sa antas ng credential ay nananatili para sa dalawa. Iyon ang dahilan kung bakit maaaring ilista ng output ng status ang parehong pangalan nang dalawang beses habang hiwalay pa rin ang mga counter.

Tiyakin kung ano talaga ang ginagawa ng iyong build bago magdisenyo sa paligid nito, dahil ang epekto ng opsyong ito ay tinutukoy ng opsyong mismo at hindi ng kuwentong-bayan:

grep -n 'duplicate-cn\|client-config-dir\|username-as-common-name' /etc/openvpn/server.conf

Ang static na address na akala mo ay itinalaga mo

Ang configuration sa bawat kliyente ay hinahanap ayon sa pangalan, at doon ang bitag. Ang file na client-config-dir na pinangalanan ayon sa karaniwang pangalan ay nalalapat sa bawat device na gumagamit ng pangalang iyon, kaya ang ifconfig-push sa loob nito ay nagbibigay sa dalawang device ng parehong address ng tunnel. Ang ikalawang session ay maaaring hindi maitatag, o bumabangga sa paraang mukhang sira sa routing.

Mas mahusay ang pag-uugali ng dynamic pool nang nagkataon, dahil ang bawat session ay binibigyan ng address mula sa pool nang hiwalay. Hindi pa rin iyon nagbibigay sa iyo ng stable na address sa bawat device, at tiyak na hindi nagbibigay ng patakaran sa bawat device na nakatali sa address na iyon.

Kung gumagamit ang deployment ng username-as-common-name, ang susi ng paghahanap ay nagiging authenticated na username sa halip na subject ng sertipiko, at ang parehong banggaan ay nangyayari sa sinumang mag-log in nang dalawang beses. Ang pangalang nagtutulak sa configuration ay dapat natatangi sa bawat device upang ang configuration sa bawat device ay may kahulugan.

Ano ang hindi kayang gawin ng pinagsasaluhang pagkakakilanlan sa oras ng pagtanggal

Ang pagbawi ay gumagana sa sertipiko, hindi sa ipinapakitang pangalan at hindi sa session. Bawiin ang sertipikong iyon at ang bawat device na may kopya ay agad na mawawalan ng access, kasama ang nasa opisina na walang gustong gambalain. Panatilihin ito at patuloy na gumagana ang nawawalang device, dahil wala sa protocol ang nagtatangi nito sa aprubadong kopya.

Ang mga log ay nagmamana ng parehong kalabuan. Ipinapakita ng output ng status ang isang karaniwang pangalan at isang tunay na address, at pareho ay maaaring pag-aari ng alinman sa dalawang device. Ang pagsusuri ng insidente na kailangang malaman kung aling makina ang gumawa ng ano ay hindi masasagot ang tanong mula sa sariling talaan ng VPN, gaano man karaming detalye ang ibigay ng antas ng log.

Walang cryptographic na paraan sa paligid nito. Ang dalawang device na nagpapakita ng parehong sertipiko, para sa server, ay ang parehong kalahok nang dalawang beses, at anumang pamamaraan na nagsasabing kung hindi ay kombensyon sa pagpapangalan at hindi kontrol.

Kailan tama ang pagbabahagi, at paano ito limitahan

May mga lehitimong gamit ang pagbabahagi: isang account sa laboratoryo na ginagamit ng ilang makina sa pagsubok, o isang sambahayan kung saan pinamamahalaan nang sama-sama ang mga device at hindi mahalaga ang detalye ng pagbawi. Sa mga ganitong kaso, sadyang i-enable ang opsyong ito, itago ang pinagsasaluhang credential sa labas ng patakaran sa bawat device, at bigyan ng espasyo ang pool upang hindi mabangga ang mga session sa isang address.

Para sa anumang nangangailangan ng hiwalay na address, hiwalay na log o hiwalay na pagtanggal, magbigay ng hiwalay na sertipiko sa karaniwang landas ng pagpapatala. Nagbibigay iyon sa bawat susunod na sistema ng natatanging bagay na maaaring pagbatayan, at hindi na mahalaga ang opsyong ito dahil natatangi na ang mga pangalan.

Anuman ang landas na piliin, subukan ang modelo ng pamamahala at hindi ang pag-log in. Ikonekta ang dalawang device, tiyakin na may magkaibang address, pagkatapos gayahin ang pagkawala at tingnan kung maaari mong alisin ang eksaktong isa sa kanila. Ang manwal ng openvpn(8) ang nagtatakda ng saklaw ng opsyong ito; ang iyong pamamaraan sa pagtanggal ang nagtatakda kung tunay na katanggap-tanggap ang pagbabahagi.