İki cihaz, tek OpenVPN sertifikası: yeniden bağlanma döngüsü

Her yarım dakikada bir açılıp yeniden başlayan bir tünel genellikle şifre veya MTU sorunu değildir. Aynı kimliğin iki kez kullanılmasıdır. Sunucu tanıdık bir ortak ad görür, yeni oturumu en son oturum olarak kabul eder ve eski cihaz yerine başkasının geçtiğini fark eder. İstemci tarafında bu, bir hareketsizlik zaman aşımı ve yeniden başlama gibi görünür; bu yüzden inceleme çoğu zaman yanlış yerden başlar.

Yeniden başlama aralığından başlayın

Aralık her şeyden önce bir ipucudur. ping-restart penceresiyle uyuşan düzenli bir ritim, başarısız bir yol yerine değiştirilen bir oturuma işaret eder, çünkü yol arızaları nadiren bu kadar düzenlidir. Yeniden başlamalar arasındaki tam boşluğu ve istemci günlüğündeki neden satırını yazın. Zaman aşımını izleyen yeniden başlama, başarısız bir el sıkışmadan farklı bir hikâye anlatır.

Yeniden başlamaların ikinci bir cihaza göre ne zaman başladığını kontrol edin. Yeni bir dizüstü bilgisayar, telefon veya yedek makineye kopyalanmış bir profil olağan tetikleyicilerdir ve zamanlama genellikle birinin onu kurduğu günle örtüşür.

Aralığı ve nedeni yazın. İkisi de kanıttır ve ikisi de ucuza toplanır.

Sunucunun ikinci oturum açma hakkında ne dediğini okuyun

Kendi denetlediğiniz bir sunucuda günlük, ortak adı belirtir ve gelen ikinci bağlantıyı gösterir. duplicate-cn yoksa bu geliş, aynı ad için var olan oturumun yerine geçer ve mesaj genellikle bunu açıkça söyler. duplicate-cn varsa iki oturum bir arada bulunur ve belirti değişir: istemciler açık kalır ama istemci başına tek bir ayar kümesini ve tek bir iptal kararını paylaşır. İki kaydı birlikte okuyun, çünkü yer değiştirme yalnızca sıra içinde görülür.

Barındırılan bir hizmette hiç sunucu günlüğünüz olmayabilir. O zaman ipucu zamandır: başka bir makine bağlandığında düşen kararlı bir tünel ve istemci günlüğünde zaman aşımından başka bir şey yok.

Yalnızca uzak ana bilgisayar adını değil, iki profildeki sertifika ve anahtar bloklarını karşılaştırın. Kopyalanmış profiller genellikle yalnızca dosya adında farklıdır.

Kimliği sunucu tarafında ayırın

Bu sunucu için imza atan CA aracılığıyla her cihaz için bir sertifika verin. Easy-RSA ile bu, her cihaz için ayrı bir istemci adı demektir ve profil sonra o sertifikadan ve anahtarından oluşturulur. Ortak ad cihazın kimliği olur ve sunucunun eksik olanı tam olarak buydu. Onları kişiye değil cihaza göre adlandırın, böylece değişim yeni bir ad üretsin.

Paylaşılan denetim kanalı anahtarı ayrı bir şeydir. tls-crypt veya tls-auth her istemcinin denetim kanalını korur ve paylaşılmak üzere tasarlanmıştır. Bir istemci kimliği değildir ve onu değiştirmek çoğaltılmış bir sertifikayı düzeltmez.

Sertifikayı, anahtarı ve istemci başına her yapılandırma dosyasını aynı ortak ad altında tutun, aksi halde eşleme sonraki bağlantıda kırılır. Oradaki uyumsuzluk, kimlik doğrulamasından geçen ve sonra hiçbir şey almayan bir istemci üretir.

Ayırmadan sonra adresleri ve ayarları uyumlu tutun

Sabit adresler çakışmanın ikinci yolunu getirir. Sunucu bunları ifconfig-pool-persist veya istemci başına bir dosya aracılığıyla atarsa, o kayıtlar hâlâ eski adı gösterir. Sertifikalar ayrıldıktan sonra bile iki cihaz aynı tünel adresini alabilir ve bu arıza özgün döngüden farklı görünür.

Eşlemeyi sertifikayla aynı zamanda güncelleyin, sonra iki cihazı yeniden bağlayın ve atanan adreslerini karşılaştırın. Çoğaltılmış adres, temiz bir yeniden bağlanma yerine aralıklı kayıp olarak görünür.

Cihaz başına farklı olması gereken ayarları o cihazın kendi dosyası üzerinden gönderin, paylaşılan bir şablon üzerinden değil. Paylaşılan şablon bir sonraki çoğaltmayı fark etmeyi de zorlaştırır.

Eski kimliği düzgün biçimde kullanımdan kaldırın

Donanım kullanımdan kaldırıldığında veya kaybolduğunda, profili eski makineden silmek yerine sertifikayı iptal edin. İptal yeni bir CRL üretir ve sunucunun o dosyaya crl-verify işaret ettiği yerde ihtiyacı vardır. Bu direktif yerindeyken eksik veya okunamayan bir CRL sunucunun her istemciyi reddetmesine yol açar, bu yüzden her güncellemeden sonra bilinen bir hesabı test edin.

Her sertifikayı bir kişiye veya cihaza bağlayan, veriliş ve iptal tarihlerini içeren bir envanter tutun. Bu envanter dosya adlarını okumadan kimin hâlâ erişimi olduğunu yanıtlar ve sonraki kopyalanmış profilin döngüyü yeniden başlatmasını engeller.