OpenVPN-подключение сбрасывается каждые 2 минуты

Question

Часто это признак того, что данную пару ключ/сертификат используют несколько клиентов:

(1) подтверждает подлинность
(2) аутентифицируется; сервер видит тот же сертификат, поэтому думает, что это просто замененное соединение, и (1) больше не будет получать пинги keepalive
(1) пропускает некоторые пинги, решает, что соединение разорвано, и переподключается, теперь (2) не получает пинги
(2) пропускает некоторые пинги, решает, что соединение разорвано, и переподключается, теперь (1) не получает пинги

Вы видите, что происходит, а также ясно, как ping-restartздесь задействован установленный тайм-аут бездействия.

Чтобы этого не произошло, вам необходимо тщательно управлять своим VPN CA. В частности:

Отслеживайте, где установлены ваши ключи и кто отвечает за устройство, на котором установлен каждый ключ. Найдите способ связаться с любым, у кого есть активные ключи VPN (например, запишите их номер телефона, адрес электронной почты и т. д., вы можете настроить OpenSSL так, чтобы он запрашивал эти данные во время выдачи сертификата и записывал эти данные непосредственно в сертификаты и индекс CA).
Никогда не используйте один и тот же ключ/сертификат более одного раза; никогда не помещайте ключ/сертификат вшаблоны; если вы клонируете какую-то систему, очистите ключи там. Ключи должны быть всегда сгенерированы и сертифицированы, выпущены заново каждый раз, когда системаразвернутый.
Если какой-то пользователь просит (другой) ключ/сертификат, когда у него есть активный, он должен объяснить, почему. Возможно, он потерял старые данные, потому что ОС была переустановлена, и он забыл сохранить конфигурацию VPN; или ему просто может понадобиться VPN на дополнительном компьютере. Или что-то еще. Оценивая их объяснение, вы либо сначалаотозватьстарый ключ перед выпуском нового или выпустите ключ с другим CN, чтобы избежать конфликта.
Научите своих пользователей всегда сообщать вам, что их ключ/сертификат больше не используется (он утерян или причина его выдачи утеряна), чтобы вы могли его отозвать. И тогда вам придется его отозвать.
Очень важно, обучить пользователейбережноуведомить вас, если они подозревают, что ключ/сертификат был украден; в этом случае вы должны немедленно отозвать его.

Это части процесса, называемого «сетевой безопасностью». VPN не может быть безопасным без определенной дисциплины, независимо от того, насколько совершенным является его программное обеспечение и современная криптография, которую он использует.

Если кто-то задается вопросом, почему OpenVPN не обнаруживает это состояние и не сообщает об этом в лог-файлах, как прокомментировано ниже: это было бы слишком ненадежно и вводило бы в заблуждение. Логи должны содержать только сырые факты, и единственным достоверно установленным фактом является то, что один и тот же CN подключается неоднократно из разных мест; он не должен содержать никаких предположений относительно того, почему это произошло.

Если вы следуете процедурам безопасности, описанным выше, проблема просто не возникает. Если она возникает, это может означать только то, что процедура была нарушена. В этом случае, чтобы гарантировать безопасность VPN, самое безопасное — предположить, что ключ был скомпрометирован, и немедленно отозвать сертификат. Вероятно, VPN сломается для кого-то (чьим ключом это был), но это будет естественным следствиемихнеспособность следовать установленной процедуре: они не сообщили вам, что не используют VPN на каком-то компьютере и скопировали его на другой, или сертификат был украден, что угодно. После повторного обучения по теме вы можете выдать им новый сертификат.

Answer 1

Часто это признак того, что данную пару ключ/сертификат используют несколько клиентов:

(1) подтверждает подлинность
(2) аутентифицируется; сервер видит тот же сертификат, поэтому думает, что это просто замененное соединение, и (1) больше не будет получать пинги keepalive
(1) пропускает некоторые пинги, решает, что соединение разорвано, и переподключается, теперь (2) не получает пинги
(2) пропускает некоторые пинги, решает, что соединение разорвано, и переподключается, теперь (1) не получает пинги

Вы видите, что происходит, а также ясно, как ping-restartздесь задействован установленный тайм-аут бездействия.

Чтобы этого не произошло, вам необходимо тщательно управлять своим VPN CA. В частности:

Отслеживайте, где установлены ваши ключи и кто отвечает за устройство, на котором установлен каждый ключ. Найдите способ связаться с любым, у кого есть активные ключи VPN (например, запишите их номер телефона, адрес электронной почты и т. д., вы можете настроить OpenSSL так, чтобы он запрашивал эти данные во время выдачи сертификата и записывал эти данные непосредственно в сертификаты и индекс CA).
Никогда не используйте один и тот же ключ/сертификат более одного раза; никогда не помещайте ключ/сертификат вшаблоны; если вы клонируете какую-то систему, очистите ключи там. Ключи должны быть всегда сгенерированы и сертифицированы, выпущены заново каждый раз, когда системаразвернутый.
Если какой-то пользователь просит (другой) ключ/сертификат, когда у него есть активный, он должен объяснить, почему. Возможно, он потерял старые данные, потому что ОС была переустановлена, и он забыл сохранить конфигурацию VPN; или ему просто может понадобиться VPN на дополнительном компьютере. Или что-то еще. Оценивая их объяснение, вы либо сначалаотозватьстарый ключ перед выпуском нового или выпустите ключ с другим CN, чтобы избежать конфликта.
Научите своих пользователей всегда сообщать вам, что их ключ/сертификат больше не используется (он утерян или причина его выдачи утеряна), чтобы вы могли его отозвать. И тогда вам придется его отозвать.
Очень важно, обучить пользователейбережноуведомить вас, если они подозревают, что ключ/сертификат был украден; в этом случае вы должны немедленно отозвать его.

Это части процесса, называемого «сетевой безопасностью». VPN не может быть безопасным без определенной дисциплины, независимо от того, насколько совершенным является его программное обеспечение и современная криптография, которую он использует.

Если кто-то задается вопросом, почему OpenVPN не обнаруживает это состояние и не сообщает об этом в лог-файлах, как прокомментировано ниже: это было бы слишком ненадежно и вводило бы в заблуждение. Логи должны содержать только сырые факты, и единственным достоверно установленным фактом является то, что один и тот же CN подключается неоднократно из разных мест; он не должен содержать никаких предположений относительно того, почему это произошло.

Если вы следуете процедурам безопасности, описанным выше, проблема просто не возникает. Если она возникает, это может означать только то, что процедура была нарушена. В этом случае, чтобы гарантировать безопасность VPN, самое безопасное — предположить, что ключ был скомпрометирован, и немедленно отозвать сертификат. Вероятно, VPN сломается для кого-то (чьим ключом это был), но это будет естественным следствиемихнеспособность следовать установленной процедуре: они не сообщили вам, что не используют VPN на каком-то компьютере и скопировали его на другой, или сертификат был украден, что угодно. После повторного обучения по теме вы можете выдать им новый сертификат.

OpenVPN-подключение сбрасывается каждые 2 минуты

решение1

Связанный контент