Ikki qurilma, bitta OpenVPN sertifikati: qayta ulanish davri

Har yarim daqiqada ko'tarilib, qayta ishga tushadigan tunnel odatda shifr yoki MTU muammosi emas. Bu bir o'zlikning ikki marta ishlatilishidir. Server tanish umumiy nomni ko'radi, yangi sessiyani eng yangisi deb qabul qiladi va eski qurilma o'z o'rni almashtirilganini bilib qoladi. Mijoz tomondan bu harakatsizlik muddati tugashi va qayta ishga tushish kabi ko'rinadi, shuning uchun tekshiruv ko'pincha noto'g'ri joydan boshlanadi.

Qayta ishga tushish oralig'idan boshlang

Oraliq hamma narsadan oldin bir ishoradir. ping-restart oynasiga mos keladigan tekis ritm buziq yo'lni emas, almashtirilayotgan sessiyani ko'rsatadi, chunki yo'l nosozliklari kamdan-kam shunchalik muntazam bo'ladi. Qayta ishga tushishlar orasidagi aniq tanaffusni va mijoz jurnalida sabab satrini yozib qo'ying. Muddati tugashdan keyingi qayta ishga tushish muvaffaqiyatsiz qo'l berishdan boshqa hikoya aytadi.

Qayta ishga tushishlar ikkinchi qurilmaga nisbatan qachon boshlanganini tekshiring. Yangi noutbuk, telefon yoki zaxira mashinaga ko'chirilgan profil odatiy sabablar, va vaqt odatda kimdir uni sozlagan kunga to'g'ri keladi.

Oraliq va sababni yozing. Ikkalasi ham dalil, va ikkalasini ham arzon yig'ish mumkin.

Server ikkinchi kirish haqida nima deganini o'qing

Siz boshqaradigan serverda jurnal umumiy nomni aytadi va ikkinchi ulanish kelayotganini ko'rsatadi. duplicate-cn bo'lmasa, bu kelish xuddi shu nomning mavjud sessiyasini almashtiradi va xabar odatda buni ochiq aytadi. duplicate-cn bo'lsa, ikkala sessiya birga yashaydi va alomat o'zgaradi: mijozlar ulangan qoladi, lekin har mijoz uchun bitta sozlamalar to'plami va bitta bekor qilish qarorini bo'lishadi. Ikki yozuvni birga o'qing, chunki almashtirish faqat ketma-ketlikda ko'rinadi.

Xosting xizmatida server jurnali umuman bo'lmasligi mumkin. Unda ishora vaqt: boshqa mashina ulanganda yiqiladigan barqaror tunnel, va mijoz jurnalida muddat tugashidan boshqa narsa yo'q.

Faqat uzoq xost nomini emas, ikkala profildagi sertifikat va kalit bloklarini solishtiring. Ko'chirilgan profillar odatda faqat fayl nomi bilan farq qiladi.

O'zlikni server tomonida ajrating

Bu server uchun imzo qo'yadigan CA orqali har qurilmaga bitta sertifikat bering. Easy-RSA bilan bu har qurilma uchun alohida mijoz nomi degani, va profil keyin shu sertifikat va uning kalitidan quriladi. Umumiy nom qurilmaning o'zligiga aylanadi, va serverga aynan shu yetishmayotgan edi. Ularni shaxs emas, qurilma nomi bilan nomlang, shunda almashtirish yangi nom hosil qiladi.

Umumiy boshqaruv kanali kaliti alohida narsa. tls-crypt yoki tls-auth har mijozning boshqaruv kanalini himoya qiladi va bo'lishish uchun mo'ljallangan. U mijoz o'zligi emas, va uni almashtirish ikki nusxali sertifikatni tuzatmaydi.

Sertifikat, kalit va har bir mijoz konfiguratsiya faylini bir xil umumiy nom ostida saqlang, aks holda keyingi ulanishda moslashuv buziladi. U yerda nomuvofiqlik autentifikatsiyadan o'tib, keyin hech narsa olmaydigan mijoz yaratadi.

Bo'linishdan keyin manzil va sozlamalarni mos holda saqlang

Qat'iy manzillar to'qnashuvning ikkinchi yo'lini keltiradi. Agar server ularni ifconfig-pool-persist yoki har mijoz fayli orqali bersa, o'sha yozuvlar hali ham eski nomga ishora qiladi. Sertifikatlar ajratilgandan keyin ham ikki qurilma bir xil tunnel manzilini olishi mumkin, va bu nosozlik asl davrdan boshqacha ko'rinadi.

Moslashuvni sertifikat bilan bir vaqtda yangilang, keyin ikkala qurilmani qayta ulang va ularga berilgan manzillarni solishtiring. Ikki nusxali manzil toza qayta ulanish emas, uzilib-uzilib yo'qotish sifatida namoyon bo'ladi.

Har qurilmada farq qilishi kerak bo'lgan sozlamalarni o'sha qurilmaning o'z fayli orqali yuboring, umumiy shablon orqali emas. Umumiy shablon keyingi takrorlanishni payqashni ham qiyinlashtiradi.

Eski o'zlikni munosib tarzda bekor qiling

Apparat texnikasi chiqarilganda yoki yo'qolganda profilni eski mashinadan o'chirish o'rniga sertifikatni bekor qiling. Bekor qilish yangi CRL hosil qiladi, va serverga o'sha fayl crl-verify ko'rsatgan joyda kerak. Bu ko'rsatma mavjud bo'lganda, yo'q yoki o'qib bo'lmaydigan CRL serverni har mijozni rad etishga majbur qiladi, shuning uchun har yangilanishdan keyin bitta ma'lum hisobni sinab ko'ring.

Har sertifikatni shaxs yoki qurilmaga bog'laydigan, berilgan va bekor qilingan sanalari bilan ro'yxat yuriting. Bu ro'yxat fayl nomlarini o'qimasdan kimning hali ruxsati borligiga javob beradi, va keyingi ko'chirilgan profilning davrni qaytadan boshlashiga yo'l qo'ymaydi.