Statik açarlı OpenVPN bağlantısı bir neçə klientə xidmət edə bilərmi?

Statik açarlı rejim dəqiq iki peer-i birləşdirir və bu, kiminsə aradan qaldırmağı unutduğu məhdudiyyət deyil, dizaynın özüdür. client-to-client server rejiminin yönləndirmə seçimidir, ona görə də onu --secret konfiqurasiyasına əlavə etmək neçə klientin qoşula biləcəyini dəyişmir. Qərar hansı bayrağın əlavə olunmasında deyil, yerləşdirmənin nöqtədən-nöqtəyə keçidə, yoxsa çoxklientli xidmətə ehtiyac duyduğundadır. Bir neçə cihaz müstəqil qoşulmalıdırsa, qoruma rejimi dəyişir və hər cihaz öz kimliyini alır.

İki peer, bir açar və hər klient üçün heç bir vəziyyət: bu rejimin bütün hekayəsi elə bu formadır.

Statik açarlı rejim nə üçündür

Gizli rejimdə hər iki peer bir açar faylını paylaşır və bu açar trafiki birbaşa qoruyur. Nə əl sıxma, nə sertifikat mübadiləsi, nə də hər klient üçün sessiya var, çünki server mənasında klient yoxdur, yalnız iki son nöqtə var.

Rejim sənədləşdirilmiş açar dəyişdirmə prosesi olan sabit maşın cütü üçün faydalı qalır və OpenVPN 2.6 onu məhz TLS rejimi bu halları daha yaxşı xüsusiyyətlərlə əhatə etdiyi üçün köhnəlmiş kimi işarələyir. Edə bilmədiyi şey bir qoşulan cihazı digərindən ayırmaqdır, çünki faylın sahibliyi bütün autentifikasiya hekayəsidir. Üçüncü cihazın əlavə edilməsi həmin açarı onunla paylaşmaq deməkdir, bundan sonra ilk ikisi onu özlərindən ayıra bilməz.

Buna görə iki peer həddi dəyişdiriləcək parametr deyil, struktur xarakterlidir.

Niyə client-to-client çatışmayan hissə deyil

client-to-client qoşulmuş klientlərin server vasitəsilə trafik mübadiləsi edib-etməyəcəyini idarə edir. O, klientləri qəbul etmir, kimlik təyin etmir və konfiqurasiya olunmamış server rejimi yaratmır, statik açarlı konfiqurasiyada isə onun idarə edəcəyi klient siyahısı yoxdur.

Digər geniş yayılmış çaşqınlıq tls-crypt və ya tls-auth materialına aiddir. TLS serveri bu açarlardan birini bütün klientlər arasında paylaşa bilər, çünki o, hər klientin kim olduğunu sübut etmək əvəzinə idarəetmə kanalını qoruyur. TLS rejimində paylaşılan idarəetmə kanalı açarı paylaşılan statik data açarından fərqli obyektdir, hər ikisi oxşar görünən fayllar kimi gəlsə də.

Rejimlər arasında seçim iki suala qayıdır. Birdən çox cihaz müstəqil qoşulmalıdırmı və yerləşdirmə hər cihaz üçün ləğv etməyə ehtiyac duyurmu? Hər ikisinə yox cavabı statik açarlı rejimi yaşadır; hər hansı birinə hə cavabı TLS-ə işarə edir. İkinci klientin öz kimliyi olmadan qəbul edildiyi üçüncü variant yoxdur.

Çoxklientli serverin qurulması

Çoxklientli server TLS rejimi, server tərəfində sertifikat və hər klient üçün kimlik tələb edir. Server köməkçisi ünvan hovuzunu və çoxklientli rejimi qurur, lakin TLS konfiqurasiyasını, etimad ankerini və qəbulu mənalı edən klient sertifikatlarını təqdim etmir.

Hər cihazı bir klientin etimadnaməsini kopyalamaq əvəzinə mövcud sertifikat orqanı vasitəsilə qeydə alın. Fərqli kimliklər ləğvetməni, hər klient üçün marşrutlaşdırmanı və faydalı jurnalları mümkün edən şeydir və tək paylaşılan klient sertifikatı hər üçünü birdən çökdürür.

Yerləşdirmə istifadəçiləri xarici kataloq və ya ikinci faktor vasitəsilə autentifikasiya edirsə, bu dizayn olduğu kimi qalır. TLS server rejiminə keçid peer-lərin tunel qatında özlərini necə sübut edəcəyini həll edir və hesab arxa planını diktə etmir. İki qərarı ayrı saxlayın ki, birindəki dəyişiklik digərini səssizcə dəyişməsin.

Sonra yönləndirmə siyasətinə qəsdən qərar verin. client-to-client istifadəçi məkanındakı server yolunda klientlər arası trafiki aktivləşdirir, bir çox yerləşdirmə bunu istəyir, bəziləri isə buna malik olmamalıdır. Bu, kimlik mexanizmi deyil, siyasət açarıdır və dərslikdə olduğu üçün deyil, dizayn tələb etdiyi üçün yandırılmalıdır.

Klientlərin həqiqətən müstəqil olduğunu yoxlamaq

İki klient qoşun və onların fərqli ünvanlar aldığını və server jurnalında fərqli kimliklərlə göründüyünü təsdiqləyin. Sonra birini ləğv edin və digərinin işləməyə davam etdiyini təsdiqləyin, bu, kimliklərin paylaşılmadığının praktik sınağıdır.

İcazə verilən peer-lər arası xidməti və bloklanmış qalmalı olan birini sınayın. İki uğurlu giriş qəbulu sübut edir, təcridi yox, və yerləşdirmə istifadəçi qruplarını ayırmalı olduqda bu fərq vacibdir.

Nəhayət, server rejimini yaddaşdan deyil, işləyən konfiqurasiyadan oxuyun. Əlavə seçimləri olan statik açarlı konfiqurasiya yenə də nöqtədən-nöqtəyə keçiddir və düzgün TLS serveri bir neçə klientin həqiqətən ayrı peer olduğu yeganə quruluşdur.

Jurnal hər cihaz üçün bir ümumi ad göstərirsə, problem rejim deyil. Problem qeydiyyat prosesidir.