دو ڈیوائسز، ایک OpenVPN سرٹیفکیٹ: دوبارہ جڑنے کا لوپ

ہر آدھے منٹ میں اوپر آ کر دوبارہ شروع ہونے والی ٹنل عام طور پر سائفر یا MTU کا مسئلہ نہیں ہوتی۔ یہ ایک ہی شناخت ہے جو دو بار استعمال ہو رہی ہے۔ سرور ایک جانی پہچانی مشترکہ نام دیکھتا ہے، نئے سیشن کو سب سے نیا مان لیتا ہے، اور پرانی ڈیوائس جان لیتی ہے کہ اسے بدل دیا گیا ہے۔ کلائنٹ کی طرف سے یہ غیر فعالیت کی مدت ختم ہونے اور دوبارہ شروع ہونے جیسا لگتا ہے، اسی لیے تحقیق اکثر غلط جگہ سے شروع ہوتی ہے۔

دوبارہ شروع ہونے کے وقفے سے شروع کریں

وقفہ ہر چیز سے پہلے ایک سراغ ہے۔ ping-restart ونڈو سے میل کھانے والی مستقل تال بدلے جانے والے سیشن کی طرف اشارہ کرتی ہے، ناکام راستے کی طرف نہیں، کیونکہ راستے کی ناکامیاں کم ہی اتنی باقاعدہ ہوتی ہیں۔ دوبارہ شروع ہونے کے درمیان درست وقفہ اور کلائنٹ لاگ میں وجہ کی سطر لکھیں۔ وقت ختم ہونے کے بعد دوبارہ شروع ہونا ناکام ہینڈ شیک سے مختلف کہانی سناتا ہے۔

دوسری ڈیوائس کے مقابلے میں دوبارہ شروع کب ہوا، یہ دیکھیں۔ نیا لیپ ٹاپ، فون یا بیک اپ مشین پر کاپی شدہ پروفائل عام وجوہات ہیں، اور وقت عام طور پر اسی دن سے ملتا ہے جس دن کسی نے اسے سیٹ کیا۔

وقفہ اور وجہ لکھیں۔ دونوں ثبوت ہیں، اور دونوں سستے طور پر جمع ہو سکتے ہیں۔

پڑھیں کہ سرور نے دوسرے لاگ ان کے بارے میں کیا کہا

جس سرور پر آپ کا کنٹرول ہے، وہاں لاگ مشترکہ نام بتاتا ہے اور دوسرا کنکشن آتا دکھاتا ہے۔ duplicate-cn کے بغیر وہ آمد اسی نام کے موجودہ سیشن کو بدل دیتی ہے، اور پیغام عام طور پر یہ صاف کہتا ہے۔ duplicate-cn کے ساتھ دونوں سیشن ساتھ رہتے ہیں اور علامت بدل جاتی ہے: کلائنٹ آن رہتے ہیں مگر فی کلائنٹ ایک ہی ترتیبات کا مجموعہ اور ایک ہی منسوخی کا فیصلہ بانٹتے ہیں۔ دونوں اندراج ایک ساتھ پڑھیں، کیونکہ تبدیلی صرف ترتیب میں نظر آتی ہے۔

ہوسٹڈ سروس میں آپ کے پاس سرور لاگ بالکل نہ ہو۔ تب سراغ وقت ہے: ایک مستحکم ٹنل جو ہر بار گرتی ہے جب کوئی دوسری مشین جڑتی ہے، اور کلائنٹ لاگ میں وقت ختم ہونے کے سوا کچھ نہیں۔

صرف دور کا ہوسٹ نام نہیں، دونوں پروفائلز کے سرٹیفکیٹ اور کلید کے بلاک موازنہ کریں۔ کاپی شدہ پروفائل عام طور پر صرف فائل کے نام میں مختلف ہوتے ہیں۔

سرور کی طرف شناخت الگ کریں

اس سرور کے لیے دستخط کرنے والے CA کے ذریعے ہر ڈیوائس کے لیے ایک سرٹیفکیٹ جاری کریں۔ Easy-RSA کے ساتھ اس کا مطلب ہر ڈیوائس کے لیے الگ کلائنٹ نام ہے، اور پھر پروفائل اسی سرٹیفکیٹ اور اس کی کلید سے بنتا ہے۔ مشترکہ نام ڈیوائس کی شناخت بن جاتا ہے، اور سرور کو بالکل یہی چیز کمی تھی۔ انہیں شخص کے بجائے ڈیوائس کے نام پر رکھیں، تاکہ تبدیلی نیا نام پیدا کرے۔

مشترکہ کنٹرول چینل کلید الگ چیز ہے۔ tls-crypt یا tls-auth ہر کلائنٹ کے کنٹرول چینل کی حفاظت کرتی ہے اور بانٹنے کے لیے بنی ہے۔ یہ کلائنٹ کی شناخت نہیں، اور اسے بدلنے سے دوہرا سرٹیفکیٹ ٹھیک نہیں ہوگا۔

سرٹیفکیٹ، کلید اور فی کلائنٹ کوئی بھی کنفیگریشن فائل ایک ہی مشترکہ نام کے تحت رکھیں، ورنہ اگلے کنکشن پر میپنگ ٹوٹ جاتی ہے۔ وہاں عدم مطابقت سے ایسا کلائنٹ بنتا ہے جو تصدیق کے بعد کچھ حاصل نہیں کرتا۔

تقسیم کے بعد پتے اور ترتیبات ہم آہنگ رکھیں

مستقل پتے تصادم کا دوسرا راستہ لاتے ہیں۔ اگر سرور یہ ifconfig-pool-persist یا فی کلائنٹ فائل کے ذریعے دیتا ہے، تو وہ ریکارڈ اب بھی پرانے نام کی طرف اشارہ کرتے ہیں۔ سرٹیفکیٹ الگ ہونے کے بعد بھی دو ڈیوائسز کو ایک ہی ٹنل پتہ مل سکتا ہے، اور وہ ناکامی اصل لوپ سے مختلف دکھتی ہے۔

سرٹیفکیٹ کے ساتھ ہی میپنگ اپ ڈیٹ کریں، پھر دونوں ڈیوائسز دوبارہ جوڑیں اور انہیں ملنے والے پتوں کا موازنہ کریں۔ دوہرا پتہ صاف دوبارہ جڑنے کے بجائے رک رک کر ہونے والے نقصان کے طور پر ظاہر ہوتا ہے۔

ہر ڈیوائس کے لیے مختلف ہونے والی ترتیبات اسی ڈیوائس کی اپنی فائل کے ذریعے بھیجیں، مشترکہ ٹیمپلیٹ کے ذریعے نہیں۔ مشترکہ ٹیمپلیٹ اگلی نقل پہچاننا بھی مشکل بناتا ہے۔

پرانی شناخت کو ٹھیک طریقے سے ہٹائیں

ہارڈویئر ہٹائے جانے یا گم ہونے پر پرانی مشین سے پروفائل مٹانے کے بجائے سرٹیفکیٹ منسوخ کریں۔ منسوخی نئی CRL بناتی ہے، اور سرور کو وہ فائل وہاں چاہیے جہاں crl-verify اشارہ کرتا ہے۔ اس ہدایت کے موجود ہونے پر گمشدہ یا ناقابلِ مطالعہ CRL سرور کو ہر کلائنٹ رد کرنے پر مجبور کرتی ہے، اس لیے ہر اپ ڈیٹ کے بعد ایک معلوم اکاؤنٹ آزمائیں۔

ایسی فہرست رکھیں جو ہر سرٹیفکیٹ کو کسی شخص یا ڈیوائس سے جوڑے، جاری ہونے اور منسوخی کی تاریخوں کے ساتھ۔ وہ فہرست فائل کے نام پڑھے بغیر بتاتی ہے کہ کس کو اب بھی رسائی ہے، اور اگلی کاپی شدہ پروفائل کو لوپ دوبارہ شروع کرنے سے روکتی ہے۔