Može li OpenVPN veza sa statičkim ključem posluživati više klijenata?

Način rada sa statičkim ključem povezuje tačno dva ravnopravna računara i to je njegov dizajn, a ne ograničenje koje je neko zaboravio ukloniti. client-to-client je opcija prosljeđivanja u serverskom načinu rada, pa njeno dodavanje u konfiguraciju --secret ne mijenja ništa u tome koliko se klijenata može povezati. Odluka nije koju zastavicu dodati, nego da li raspoređivanju treba veza od tačke do tačke ili usluga za više klijenata. Ako se više uređaja mora povezivati neovisno, način zaštite se mijenja i svaki uređaj dobija identitet.

Dva ravnopravna računara, jedan ključ i nikakvo stanje po klijentu: taj oblik je cijela priča ovog načina rada.

Čemu služi način rada sa statičkim ključem

U načinu rada sa tajnim ključem oba računara dijele jednu datoteku ključa i taj ključ izravno štiti promet. Nema rukovanja, nema razmjene certifikata i nema sesije po klijentu, jer nema klijenata u serverskom smislu, samo dvije krajnje točke.

Način rada ostaje koristan za fiksni par mašina s dokumentiranim postupkom rotacije ključa, a OpenVPN 2.6 ga označava kao zastario upravo zato što TLS način rada pokriva te slučajeve boljim svojstvima. Ono što ne može jest razlikovati jedan povezani uređaj od drugog, jer posjedovanje datoteke je cijela priča o provjeri identiteta. Dodavanje trećeg uređaja znači dijeljenje istog ključa s njim, nakon čega prva dva više ne mogu razlikovati njega od sebe.

Zato je granica od dva računara strukturna, a ne postavka koja se može promijeniti.

Zašto client-to-client nije dio koji nedostaje

client-to-client kontroliše mogu li povezani klijenti razmjenjivati promet kroz server. On ne prima klijente, ne dodjeljuje identitete i ne stvara serverski način rada koji nije konfigurisan, a u konfiguraciji sa statičkim ključem nema popisa klijenata kojim bi upravljao.

Druga česta zabuna tiče se materijala tls-crypt ili tls-auth. TLS server može dijeliti jedan od tih ključeva među svim klijentima, jer on štiti kontrolni kanal, a ne dokazuje ko je koji klijent. Dijeljeni ključ kontrolnog kanala u TLS načinu rada drugi je objekt od dijeljenog statičkog ključa podataka, iako oba dolaze kao datoteke koje izgledaju slično.

Izbor između načina rada svodi se na dva pitanja. Treba li se više od jednog uređaja povezivati neovisno i treba li raspoređivanju opoziv po uređaju? Ne na oba zadržava način rada sa statičkim ključem održivim; da na bilo koje od njih upućuje na TLS. Ne postoji treća opcija u kojoj se drugi klijent prima bez vlastitog identiteta.

Izgradnja servera za više klijenata

Server za više klijenata treba TLS način rada, certifikat na strani servera i identitet po klijentu. Pomoćnik servera postavlja bazen adresa i način rada za više klijenata, ali ne isporučuje TLS konfiguraciju, sidro povjerenja ni klijentske certifikate koji prijem čine smislenim.

Upišite svaki uređaj kroz postojeće tijelo za certifikate umjesto kopiranja vjerodajnica jednog klijenta. Različiti identiteti omogućuju opoziv, usmjeravanje po klijentu i korisne zapise, a jedan dijeljeni klijentski certifikat ruši sva tri.

Ako raspoređivanje provjerava korisnike kroz vanjski direktorij ili drugi faktor, taj dizajn ostaje kakav jest. Prelazak na TLS serverski način rada odlučuje kako se računari dokazuju na sloju tunela i ne diktira pozadinu računa. Držite dvije odluke odvojeno da promjena u jednoj ne promijeni tiho drugu.

Zatim svjesno odlučite politiku prosljeđivanja. client-to-client omogućuje promet između klijenata u serverskoj putanji u korisničkom prostoru, što mnoga raspoređivanja žele, a neka ne smiju imati. To je prekidač politike, a ne mehanizam identiteta, i treba ga uključiti jer dizajn to zahtijeva, a ne zato što ga je vodič uključio.

Provjera da su klijenti zaista neovisni

Povežite dva klijenta i potvrdite da dobijaju različite adrese i da se pojavljuju s različitim identitetima u zapisu servera. Zatim opozovite jedan i potvrdite da drugi nastavlja raditi, što je praktični test da identiteti nisu bili dijeljeni.

Testirajte dopuštenu uslugu između računara i onu koja mora ostati blokirana. Dvije uspješne prijave dokazuju prijem, a ne izolaciju, i ta razlika je važna kada raspoređivanje treba razdvojiti grupe korisnika.

Na kraju pročitajte serverski način rada iz konfiguracije koja radi, a ne iz pamćenja. Konfiguracija sa statičkim ključem i dodatnim opcijama i dalje je veza od tačke do tačke, a ispravan TLS server jedini je raspored u kojem je nekoliko klijenata zaista odvojeno.

Ako zapis pokazuje jedno zajedničko ime za svaki uređaj, problem nije u načinu rada. Problem je u postupku upisa.