A all dolen OpenVPN ag allwedd statig wasanaethu sawl cleient?

Mae modd allwedd statig yn cysylltu dau gyfoed yn union, a dyna ei gynllun yn hytrach na chyfyngiad yr anghofiodd rhywun ei godi. client-to-client yw opsiwn anfon modd gweinydd, felly nid yw ei ychwanegu at ffurfweddiad --secret yn newid dim ynglŷn â sawl cleient a all gysylltu. Nid y cwestiwn yw pa flag i’w ychwanegu, ond a oes ar y lleoliad angen dolen bwynt-i-bwynt neu wasanaeth aml-gleient. Os rhaid i sawl dyfais gysylltu’n annibynnol, mae’r modd amddiffyn yn newid ac mae pob dyfais yn cael hunaniaeth.

Dau gyfoed, un allwedd, a dim cyflwr fesul cleient: dyna holl stori’r modd.

Ar gyfer beth mae modd allwedd statig

Yn y modd cyfrinachol mae’r ddau gyfoed yn rhannu un ffeil allwedd, ac mae’r allwedd honno’n amddiffyn y traffig yn uniongyrchol. Nid oes ysgwyd llaw, dim cyfnewid tystysgrif, a dim sesiwn fesul cleient, oherwydd nid oes cleientiaid yn ystyr gweinydd, dim ond dau ben.

Mae’r modd yn parhau’n ddefnyddiol ar gyfer pâr sefydlog o beiriannau gyda phroses cylchdroi allwedd wedi’i dogfennu, ac mae OpenVPN 2.6 yn ei nodi fel un darfodedig yn union oherwydd bod modd TLS yn cwmpasu’r achosion hynny â nodweddion gwell. Yr hyn na all ei wneud yw gwahaniaethu un ddyfais sy’n cysylltu oddi wrth y llall, gan mai meddiant y ffeil yw holl stori’r dilysu. Mae ychwanegu trydydd dyfais yn golygu rhannu’r un allwedd â hi, ac wedi hynny ni all y ddau gyntaf ei gwahaniaethu oddi wrthynt eu hunain.

Dyna pam mae’r terfyn dau gyfoed yn strwythurol yn hytrach na gosodiad i’w newid.

Pam nad client-to-client yw’r darn coll

client-to-client sy’n rheoli a all cleientiaid cysylltiedig gyfnewid traffig drwy’r gweinydd. Nid yw’n derbyn cleientiaid, nid yw’n rhoi hunaniaethau, ac nid yw’n creu modd gweinydd na chafodd ei ffurfweddu, ac mewn ffurfweddiad allwedd statig nid oes rhestr cleientiaid iddo ei llywodraethu.

Mae’r dryswch cyffredin arall yn ymwneud â deunydd tls-crypt neu tls-auth. Gall gweinydd TLS rannu un o’r allweddi hynny ymhlith pob cleient, oherwydd mae’n amddiffyn y sianel reoli yn hytrach na phrofi pwy yw pob cleient. Mae allwedd sianel reoli a rennir mewn modd TLS yn wrthrych gwahanol i allwedd data statig a rennir, er bod y ddau’n cyrraedd fel ffeiliau sy’n edrych yn debyg.

Mae dewis rhwng y moddau yn dod i lawr i ddau gwestiwn. A oes angen i fwy nag un ddyfais gysylltu’n annibynnol, ac a oes ar y lleoliad angen dirymu fesul dyfais? Mae na i’r ddau yn cadw modd allwedd statig yn hyfyw; mae ie i’r naill neu’r llall yn pwyntio at TLS. Nid oes trydydd opsiwn lle derbynnir ail gleient heb ei hunaniaeth ei hun.

Adeiladu’r gweinydd aml-gleient

Mae angen modd TLS, tystysgrif ochr gweinydd, a hunaniaeth fesul cleient ar weinydd aml-gleient. Mae’r cynorthwyydd gweinydd yn gosod y pwll cyfeiriadau a’r modd aml-gleient, ond nid yw’n darparu’r ffurfweddiad TLS, yr angor ymddiriedaeth, na’r tystysgrifau cleient sy’n rhoi ystyr i dderbyn.

Cofrestrwch bob dyfais trwy’r awdurdod tystysgrifau presennol yn hytrach na chopïo cymwysterau un cleient. Hunaniaethau gwahanol sy’n gwneud dirymu, llwybro fesul cleient a chofnodion defnyddiol yn bosibl, ac mae un dystysgrif cleient a rennir yn dymchwel y tri.

Os yw’r lleoliad yn dilysu defnyddwyr trwy gyfeiriadur allanol neu ail ffactor, mae’r cynllun hwnnw’n aros fel y mae. Mae symud i fodd gweinydd TLS yn penderfynu sut mae cyfoedion yn profi eu hunain ar haen y twmnel, ac nid yw’n mynnu’r backend cyfrifon. Cadwch y ddau benderfyniad ar wahân fel nad yw newid yn y naill yn newid y llall yn ddistaw.

Yna penderfynwch y polisi anfon yn fwriadol. Mae client-to-client yn galluogi traffig cleient-i-gleient yn llwybr gweinydd gofod defnyddiwr, y mae llawer o leoliadau ei eisiau ac na chaiff rhai ei gael. Newidyn polisi yw ef, nid mecanwaith hunaniaeth, a dylid ei droi ymlaen oherwydd bod y cynllun yn ei gynnal yn hytrach nag oherwydd bod tiwtorial wedi’i gynnwys.

Gwirio bod cleientiaid yn wirioneddol annibynnol

Cysylltwch ddau gleient a chadarnhewch eu bod yn cael cyfeiriadau gwahanol ac yn ymddangos gyda hunaniaethau gwahanol yng nghofnod y gweinydd. Yna dirymwch un a chadarnhewch fod y llall yn parhau i weithio, sef y prawf ymarferol na rannwyd hunaniaethau.

Profwch y gwasanaeth a ganiateir rhwng cyfoedion ac un y dylai aros wedi’i rwystro. Mae dau fewngofnod llwyddiannus yn profi derbyn, nid ynysu, ac mae’r gwahaniaeth yn bwysig pan ddylai’r lleoliad wahanu grwpiau o ddefnyddwyr.

Yn olaf, darllenwch fodd y gweinydd o’r ffurfweddiad sy’n rhedeg yn hytrach nag o’r cof. Mae ffurfweddiad allwedd statig ag opsiynau ychwanegol yn dal i fod yn ddolen bwynt-i-bwynt, a gweinydd TLS cywir yw’r unig drefniant lle mae sawl cleient yn gyfoedion gwirioneddol ar wahân.

Os yw’r cofnod yn dangos un enw cyffredin ar gyfer pob dyfais, nid y modd yw’r broblem. Y broses gofrestru yw hi.