Как запретить одновременное подключение к openvpn с одинаковым сертификатом?

Question

[nymitr]

Имеется openvpn сервер.
В конфиге отсутствует duplicate-cn.
При подключении второго клиента с тем же сертификатом и ключом, соединение у первого клиента не разрывается. Клиентам назначается одинаковый ip. Трафик ходит только от последнего подключившегося.
Проверено с клиентами на windows, linux и android — везде картина одинаковая.
Конфиг сервера:

port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh2048.pem
topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 8.8.8.8"
push "dhcp-option DNS 8.8.4.4"
keepalive 10 120
tls-auth ta.key 0
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
log-append  openvpn.log
verb 3
crl-verify /etc/openvpn/crl.pem

Конфиг клиента:

client
dev tun
proto udp
remote example.com 1194
resolv-retry infinite
nobind
persist-key
persist-tun
pkcs12 client.p12
remote-cert-tls server
tls-auth ta.key 1
comp-lzo
verb 3

Comments

[Berdis87]

бывает так что из карбки последние версии openvpn скрывают параметр duplicate-cn от глаз, по этому вам кажется что его нет в конфиге, но один сертификат продолжает работать на всех устройствах одновременно.
решения:
окрываем конфиг сервера и прописываем туда duplicate-cn. не забываем закомментовать (; или #). при подключении сертификара на многих устройствах сертификат не будет отключаься но интернет будет доступен только последнему подключившему.

Answer 1

[satoo]

такое поведение, судя по всему, by design

--duplicate-cn Allow multiple clients with the same common name to concurrently connect. In the absence of this option, OpenVPN will disconnect a client instance upon connection of a new client having the same common name.

С отключенной опцией (по-умолчанию) новый клиент "выбивает" старого. Нигде не говорится, что новый просто не сможет подключиться. Т.е. по умолчанию просто в одно время один клиент. Последний

Comments

[Berdis87]

у меня почему то не выбивает. хотя duplikat cn отсуствует в конфиге. не знаю как исправить

Answer 2

[Александр Черных]

Нужно ограничить количество конкурентных подключений
Разрешаем в конфиге duplicate-cn. Первый подключится. Подключение второго режем скриптом
Кто первый встал - того и тапки :-)