Treba li svakom OpenVPN peeru linija remote? Ne baš

Dvije peer konfiguracije se porede jedna uz drugu, jedna ima remote liniju a druga ne, a zaključak je da je jedna od njih pokvarena. Taj zaključak je dovoljno često pogrešan da ga vrijedi raščlaniti. Direktiva opisuje kuda treba poslati prvi paket. Ona ne bira hoće li proces djelovati kao klijent koji inicira ili kao gateway koji čeka, i ne odlučuje koja strana dokazuje svoj identitet onoj drugoj.

Šta remote zapravo određuje

Unos remote imenuje host, opcionalno port i transport, i opcionalno nekoliko takvih unosa koji se pokušavaju redom.

Njegovo odsustvo ima određeno značenje, a ne neodređeno: proces čeka i ne obrađuje pakete s adrese osim ako se taj peer autentificira. Gateway koji služi korisnicima u pokretu zato nema razloga nikoga od njih imenovati unaprijed.

Čitajte unos kao odnos adresa. Da li je drugi kraj pouzdan, odgovaraju certifikati i opcije provjere, a ne činjenica da je adresa zapisana.

Tri rasporeda odlučuju odgovor

Klijentu u pokretu treba odredište jer mora inicirati i bez njega ne zna gdje je gateway. Gatewayu s više klijenata ne treba odredište po korisniku jer klijenti dolaze i autentificiraju se. Namjerna veza dva peera s poznatim krajnjim točkama može imati odredište na jednoj strani, na obje strane ili ni na jednoj, zavisno od toga koja strana inicira.

Lijepljenje fiksne adrese klijenta u opći gateway greška je koja slijedi iz ignoriranja tih kategorija. Radi za jedini peer čija je adresa zapisana i zavarava sve ostale.

Ništa u direktivi ne pretvara konfiguraciju u server s više klijenata, a ništa u njenom prisustvu ne sprječava serversku ulogu. Referenca za OpenVPN 2.6 dokumentira opcionalne argumente i ponašanje bez remote odvojeno, što je nagovještaj koliko su neovisni.

Transportne uloge su druga os

Kod TCP-a jedna strana čeka, a druga uspostavlja vezu. To su odvojene direktive od odredišta, a njihovo miješanje daje par u kojem ili obje čekaju ili obje uspostavljaju vezu.

Postoji i uloga TCP filtera izvora, zbog čega je ravna tvrdnja da server nikada ne smije sadržavati remote pogrešna.

Kod UDP-a nema veze koju treba uspostaviti, pa oba kraja koriste odgovarajući UDP transport i direktiva samo kaže kuda ciljati. Promjene adrese autentificiranog peera obrađuje namjensko ponašanje, a ne dodavanje novih unosa. Ispravan transport preduvjet je da odredište išta znači, a brkanje dvoga stvara konfiguracije koje izgledaju uvjerljivo i nikad ne dovrše rukovanje.

Zašto odsutni remote nije otvorena vrata

Proces bez odredišta i dalje odbija promet peerova koji se ne autentificiraju, i to je dio koji ljudi propuste kad odsutnu liniju čitaju kao slušača otvorenog za svakoga.

Autentifikacija i odredište neovisni su, a prva je ona koja je važna za povjerenje.

Obrnuta greška opasnija je. Fiksna izvorna adresa može djelovati kao kontrola pristupa jer je konkretna i lako provjerljiva, ali ne dokazuje ništa o tome ko je na drugom kraju. Zadržite provjeru certifikata i provjere identiteta koje vežu certifikat za njegovu ulogu. Zamjena njima podudaranjem adrese mijenja stvarnu kontrolu za njezin izgled.

Zapišite što konfiguracija pretpostavlja

Za svaku stranu zabilježite tri stvari: kako prvi paket stiže do peera, koja strana može prihvatiti transport i što svaka strana provjerava o onoj drugoj.

Te pretpostavke su dizajn. Direktive su samo njihovo pisanje.

Ako se dvije datoteke razlikuju, provjerite izražavaju li različite pretpostavke umjesto da pretpostavite da je jedna pogrešna. Simetričan par datoteka nije ni nužan ni dovoljan za tunel koji radi, a asimetrija je često dio koji topologiju čini funkcionalnom.