Statik açar, yoxsa TLS: iki peer arasında OpenVPN linki?

Yalnız bir-biri ilə danışan iki maşın bu topologiyanı saxlaya və yenə də razılaşdırılmış trafik açarları əldə edə bilər. Şəbəkə forması və müdafiə rejimi bir-birindən asılı olmayan seçimlərdir və bunları qarışdırmaq insanları hər iki demon işləyərkən faylı dəyişdirərək statik sirri döndərməyə çalışmağa vadar edir. İşləyən cütlük altında açar faylını dəyişdirmək heç nəyi döndürmür. OpenVPN 2.6-nın köhnəlmiş hesab etdiyi statik açar rejimi tunelin bütün ömrü boyu bir açar saxlayır, buna görə də diskdəki fayl və yaddaşdakı açar yalnız hər iki tərəf yenidən başladıqdan sonra yenidən uyğunlaşır. Avtomatik yeniləmə tələb olunursa, müdafiə rejimi dəyişməlidir.

Statik açar rejiminin edə bilmədikləri

Gizli rejimdə hər iki peer tuneli birbaşa şifrələyən və autentifikasiya edən əvvəlcədən paylaşılmış açarı paylaşır. Heç bir əl sıxma yoxdur, buna görə də heç bir tərəfin yeni açar materialı təklif etməsi, kimliyini sübut etməsi və ya operator müdaxiləsi olmadan uyğunsuzluqdan qurtulması üçün mexanizm yoxdur. Hər iki xassə çatışmayan seçimdən deyil, idarəetmə kanalının olmamasından irəli gəlir və heç bir konfiqurasiya bayrağı bu rejimə belə bir kanal əlavə etmir.

OpenVPN 2.6 təlimatı açarın yeni biri yaradılana qədər qaldığını açıq şəkildə bildirir. Bu, laboratoriya linki və ya sənədləşdirilmiş döndürmə proseduru olan sabit cihaz cütü üçün məqbuldur və uzunömürlü sirrin real risk olduğu hər yerdə qəbuledilməzdir. Fayl dəyişdirmə işləyən cütlük üçün yeni açar yaratmır; bir-biri ilə razılaşmayan iki peer yaradır. Buna görə də faylın dəyişdirilməsi döndürmə əlavə etmədən dayanma əlavə edir.

Həm də fayla sahib olmaqdan başqa peer kimliyi anlayışı yoxdur. Açarı olan hər kəs peer-dir və tuneldə heç nə hansı tərəfin hansı olduğunu qeyd etmir, buna görə ləğvetmə ya tam, ya da heçdir.

Linki yenidən dizayn etmədən TLS-ə keçid

TLS rejimi idarəetmə kanalı və bununla da məlumat kanalı açarlarını razılaşdırma qabiliyyətini əlavə edir. Nöqtədən nöqtəyə yerləşdirmədə bir tərəf server, digəri müştəri rolunu alır, lakin topologiya iki peer arasında link olaraq qalır: hər tərəf digərinin son nöqtəsini bilir və heç bir hovuz və ya çoxistifadəçili xidmət görünmür. Rollar əl sıxma detallıdır, yeni arxitektura deyil.

Hər maşına öz kimliyini verin. Hər tərəfə sertifikat və şəxsi açar, digərini təsdiqləyən etimad lövbəri və kimin gözlənildiyini göstərən peer yoxlama qaydası lazımdır. Vaxta qənaət etmək üçün bir peer-in şəxsi açarını digərində təkrar istifadə etməyin; bu, iki kimliyi birə çevirir və tərəflərin hər birini ayrıca ləğv etmə qabiliyyətini aradan qaldırır. Qeydiyyat bunu düzgün etmək üçün yerdir, çünki sonradan düzəltmək sertifikatların yenidən verilməsi deməkdir.

Müdafiə dəyişərkən şəbəkə müqaviləsini dəyişməz saxlayın. Eyni tunel ünvanları, marşrutlar və icazə verilən xidmətlər əvvəl və sonra tətbiq olunmalıdır ki, miqrasiya zamanı nasazlıq maskalanmış marşrut sürprizi deyil, müdafiə problemi olsun. Dəyişiklikdən əvvəl ünvanları və marşrutları yazın; sonra onları müqayisə etmək yaddaşdan bərpa etməkdən sürətlidir.

Bəzi yerləşdirmələr idarəetmə kanalını məlumat kanalı ilə birlikdə dönməyən öz statik açarı ilə də qoruyur. Həmin açar yükü deyil, əl sıxmanı qoruyur, buna görə onun komprometə düşməsi trafiki deyil, razılaşdırmanı ifşa edir. Onu məlumat kanalı materialından ayrı saxlayın və adlı bir şəxsin sahib olduğu dəyişdirmə tarixi verin. Onu döndərmək hər iki peer-in əlaqələndirilmiş pəncərədə yenidən başladılması deməkdir, buna görə də yaddaşdan çox təqvim qeydinə layiqdir.

Kim nəyi, nə vaxt yeniləyir

TLS rejimində yeniləmə konfiqurasiya edilmiş limitlərlə idarə olunur: vaxt intervalı, bayt sayı və ya paket sayı. Sənədləşdirilmiş vaxt nəzarəti əksər yerləşdirmələrin güvəndiyi şeydir və iki peer arasında aşağı olan effektiv dəyər dəyişdirməni başlada bilər, buna görə onu yalnız bir tərəfdə artırmaq hadisəni saxlamayacaq. Həcm əsaslı limitlər ona görə mövcuddur ki, məşğul link açarı saatdan çox əvvəl tükədə bilər. Heç bir limit sağlamlıq yoxlaması deyil və heç biri sizə yeniləmənin uğurla bitdiyini demir.

Buna görə təkrarlanan yenidən danışıqları tək konfiqurasiya faylından diaqnoz etmək yanıltıcıdır. Hər iki peer-də parametrləri oxuyun, sonra nasazlıq fərz etmək əvəzinə jurnal keçidinə baxın. Təmiz tamamlanan yeniləmə qısa bir idarəetmə kanalı trafiki partlaması kimi görünür, əlaqənin kəsilməsi kimi deyil.

Obyektləri beyninizdə ayrı saxlayın. Sertifikat uzunmüddətli kimliyi sübut edir və sizin nəzarət etdiyiniz cədvəl üzrə dəyişdirilir. Məlumat kanalı açarı avtomatik yenilənir və yerləşdirmə tələb edirsə, ayrı autentifikasiya mübadiləsi hesab siyasətinə uyğun gəlir və sonrakı mübadilələr üçün öz tənzimləmələrinə ehtiyac duya bilər.

Yeniləməni tamamilə söndürmək, intervalı sıfıra qoymaqla, səs-küylü jurnal üçün düzəliş deyil. Bu, sağlam həyat dövrü hadisəsini daimi açara çevirir və sizi tərk etməyə çalışdığınız xassəyə qaytarır.

Dəyişikliyin qəbulu

Yeni konfiqurasiyanı quraşdırılmış buraxılışın dəstəklənən nümunəsindən qurun, alqoritmləri və fayl yolları başqa yerdən miras qalmış köhnə minimal fraqmentdən deyil. Keçidi elə əlaqələndirin ki, hər iki peer birlikdə dəyişsin və bir tərəf qalxa bilməsə, təsdiqlənmiş bərpa yolu saxlayın. Geri qaytarmanı sınamaq üçün kəsilmə gözləmək əvəzinə linki qəsdən aşağı salın. Məşq etdiyiniz geri qaytarma təsvir etdiyinizdən daha dəyərlidir.

Üç şeyi sınayın: ilkin kimlik yoxlaması uğurludur, nəzərdə tutulan tətbiq axını işləyir və idarə olunan yeniləmə trafik itirmədən baş verir. Sonra jurnaldakı keçidi həqiqətən nəyi sübut etdiyi üçün oxuyun: yeni açar identifikatoru peer-lərin dəyişdirməni tamamladığını göstərir, tunelin yenidən qoşulduğunu deyil. Onu bir addımın sübutu kimi qəbul edin və miqrasiyanı bitmiş adlandırmazdan əvvəl trafik sayğaclarını yoxlayın.

Sıfır kəsilmə vədi nəyi gizlədərdi: hələ görmədiyiniz nasazlığı. Uğursuz olan yeniləmə, vaxtı bitən sertifikat və ya yol nasazlığı linki yenə də poza bilər və heç biri təmiz test keçidi ilə istisna olunmur. Dizayn üçün dəyərli olan xassə daha dar və daha faydalıdır: adi açar dəyişdirmə əl ilə fayl dəyişdirmə olmaqdan çıxır.