Kan 'n statiese-sleutel-OpenVPN-skakel verskeie kliënte bedien?

Statiese-sleutelmodus verbind presies twee eweknieë, en dit is die ontwerp daarvan, nie 'n beperking wat iemand vergeet het om op te hef nie. client-to-client is 'n aanstuur-opsie vir bedienermodus, so om dit by 'n --secret-konfigurasie te voeg verander niks aan hoeveel kliënte kan koppel nie. Die besluit is nie watter vlag om by te voeg nie, maar of die ontplooiing 'n punt-tot-punt-skakel of 'n multi-kliënt-diens nodig het. As verskeie toestelle onafhanklik moet koppel, verander die beskermingsmodus en elke toestel kry 'n identiteit.

Twee eweknieë, een sleutel en geen toestand per kliënt nie: daardie vorm is die hele verhaal van die modus.

Waarvoor statiese-sleutelmodus dien

In geheime modus deel albei eweknieë een sleutellêer, en daardie sleutel beskerm die verkeer direk. Daar is geen handdruk, geen sertifikaatuitruiling en geen sessie per kliënt nie, want daar is geen kliënte in die bediener-sin nie, net twee eindpunte.

Die modus bly nuttig vir 'n vaste paar masjiene met 'n gedokumenteerde sleutelrotasieproses, en OpenVPN 2.6 merk dit juis as verouderd omdat TLS-modus daardie gevalle met beter eienskappe dek. Wat dit nie kan doen nie, is om een koppelende toestel van 'n ander te onderskei, want die besit van die lêer is die hele storie van verifikasie. Om 'n derde toestel by te voeg beteken om dieselfde sleutel daarmee te deel, waarna die eerste twee dit nie meer van hulself kan onderskei nie.

Daarom is die twee-eweknie-grens struktureel eerder as 'n instelling wat verander kan word.

Waarom client-to-client nie die ontbrekende stuk is nie

client-to-client beheer of gekoppelde kliënte verkeer deur die bediener mag uitruil. Dit laat nie kliënte toe nie, ken nie identiteite toe nie en skep nie 'n bedienermodus wat nie opgestel is nie, en in 'n statiese-sleutelkonfigurasie is daar geen kliëntelys vir dit om te beheer nie.

Die ander algemene verwarring behels tls-crypt- of tls-auth-materiaal. 'n TLS-bediener kan een van daardie sleutels oor alle kliënte deel, want dit beskerm die beheerkanaal eerder as om te bewys wie elke kliënt is. 'n Gedeelde beheerkanaalsleutel in TLS-modus is 'n ander objek as 'n gedeelde statiese datasleutel, al kom albei as lêers wat soortgelyk lyk.

Om tussen die modusse te kies kom neer op twee vrae. Moet meer as een toestel onafhanklik koppel, en het die ontplooiing herroeping per toestel nodig? 'n Nee op albei hou statiese-sleutelmodus lewensvatbaar; 'n ja op enigeen wys na TLS. Daar is geen derde opsie waar 'n tweede kliënt sonder sy eie identiteit toegelaat word nie.

Bou die multi-kliënt-bediener

'n Multi-kliënt-bediener het TLS-modus, 'n bedienerkant-sertifikaat en 'n identiteit per kliënt nodig. Die bediener-hulpprogram stel die adrespoel en die multi-kliënt-modus op, maar dit verskaf nie die TLS-konfigurasie, die vertrouensanker of die kliëntsertifikate wat toelating betekenisvol maak nie.

Skryf elke toestel deur die bestaande sertifikaatowerheid in eerder as om een kliënt se geloofsbriewe te kopieer. Afsonderlike identiteite is wat herroeping, roetering per kliënt en nuttige logs moontlik maak, en 'n enkele gedeelde kliëntsertifikaat laat al drie ineenstort.

As die ontplooiing gebruikers deur 'n eksterne gids of 'n tweede faktor verifieer, bly daardie ontwerp soos dit is. Om na TLS-bediener-modus oor te skakel bepaal hoe eweknieë hulself op die tonnellaag bewys, en dit skryf nie die rekening-agterkant voor nie. Hou die twee besluite apart sodat 'n verandering in die een nie die ander stilweg verander nie.

Bepaal dan die aanstuurbeleid doelbewus. client-to-client aktiveer verkeer tussen kliënte in die gebruikerspas-bedienerpad, wat baie ontplooiings wil hê en sommige nie mag hê nie. Dit is 'n beleidskakelaar, nie 'n identiteitsmeganisme nie, en dit moet aangeskakel word omdat die ontwerp dit vereis, nie omdat 'n handleiding dit ingesluit het nie.

Kontroleer dat kliënte regtig onafhanklik is

Koppel twee kliënte en bevestig dat hulle verskillende adresse kry en met verskillende identiteite in die bediener se log verskyn. Herroep dan een en bevestig dat die ander aan die werk bly, wat die praktiese toets is dat identiteite nie gedeel is nie.

Toets die toegelate eweknie-tot-eweknie-diens en een wat geblokkeer moet bly. Twee suksesvolle aanmeldings bewys toelating, nie isolasie nie, en die verskil maak saak wanneer die ontplooiing groepe gebruikers moet skei.

Lees laastens die bedienermodus uit die lopende konfigurasie eerder as uit die geheue. 'n Statiese-sleutelkonfigurasie met ekstra opsies is steeds 'n punt-tot-punt-skakel, en 'n korrekte TLS-bediener is die enigste reëling waarin verskeie kliënte werklik aparte eweknieë is.

As die log een gemeenskaplike naam vir elke toestel wys, is die modus nie die probleem nie. Die inskrywingsproses is.