Allwedd statig neu TLS ar gyfer cysylltiad OpenVPN rhwng dau gyfoed?

Gall dau beiriant sy’n siarad â’i gilydd yn unig gadw’r topoleg honno a chael allweddi traffig a drafodwyd o hyd. Mae siâp y rhwydwaith a’r modd amddiffyn yn ddewisiadau annibynnol, a chymysgu’r ddau yw’r peth sy’n gwneud i bobl geisio cylchdroi cyfrinach statig drwy newid ffeil tra bo’r ddau ddaemon yn parhau i redeg. Nid yw newid y ffeil allwedd o dan bâr sy’n rhedeg yn cylchdroi unrhyw beth. Mae’r modd allwedd statig, y mae OpenVPN 2.6 yn ei nodi fel un hen ffasiwn, yn dal un allwedd am oes y tiwnel, felly dim ond ar ôl i’r ddau ben ailgychwyn y bydd y ffeil ar y disg a’r allwedd yn y cof yn cytuno eto. Os yw adnewyddu awtomatig yn ofyniad, rhaid i’r modd amddiffyn newid.

Yr hyn na all y modd allwedd statig ei wneud

Yn y modd cyfrinach, mae’r ddau gyfoed yn rhannu allwedd a rannwyd ymlaen llaw sy’n amgryptio ac yn dilysu’r tiwnel yn uniongyrchol. Nid oes ysgwyd llaw, felly nid oes mecanwaith i’r naill ochr na’r llall gynnig deunydd allwedd newydd, profi hunaniaeth, nac adfer o anghysondeb heb ymyrraeth gweithredwr. Mae’r ddwy nodwedd yn deillio o absenoldeb sianel reoli yn hytrach nag o opsiwn sydd ar goll, ac nid oes unrhyw faner ffurfweddu yn ychwanegu un at y modd hwn.

Mae llawlyfr OpenVPN 2.6 yn dweud yn glir bod yr allwedd yn parhau nes bod un newydd yn cael ei chynhyrchu. Mae hynny’n dderbyniol ar gyfer cysylltiad labordy neu bâr sefydlog o ddyfeisiau sydd â gweithdrefn gylchdroi wedi’i dogfennu, ac mae’n annerbyniol lle bynnag y bo cyfrinach hirhoedlog yn risg wirioneddol. Nid yw newid ffeil yn creu allwedd newydd i bâr sy’n rhedeg; mae’n creu dau gyfoed sy’n anghytuno. Felly mae disodli’r ffeil yn ychwanegu toriad heb ychwanegu cylchdroi.

Nid oes syniad o hunaniaeth cyfoed y tu hwnt i feddu ar y ffeil chwaith. Pwy bynnag sy’n dal yr allwedd yw cyfoed, ac nid oes dim yn y tiwnel yn cofnodi pa ochr yw pa un, felly mae dirymu yn bopeth neu’n ddim.

Symud i TLS heb ailgynllunio’r cysylltiad

Mae modd TLS yn ychwanegu sianel reoli, a chyda hi’r gallu i drafod allweddi sianel ddata. Mewn defnydd pwynt-i-bwynt, mae un ochr yn cymryd rôl y gweinydd a’r llall yn cymryd rôl y cleient, ond mae’r topoleg yn aros yn gysylltiad rhwng dau gyfoed: mae pob ochr yn gwybod pwynt terfyn y llall, ac nid oes pwll na gwasanaeth aml-ddefnyddiwr yn ymddangos. Mae’r rolau yn fanylyn ysgwyd llaw, nid yn bensaernïaeth newydd.

Rhowch hunaniaeth ei hun i bob peiriant. Mae angen tystysgrif ac allwedd breifat ar bob ochr, yr angor ymddiriedaeth sy’n dilysu’r llall, a rheol gwirio cyfoed sy’n enwi pwy a ddisgwylir. Peidiwch ag ailddefnyddio allwedd breifat un cyfoed ar y llall i arbed amser; mae hynny’n troi dwy hunaniaeth yn un ac yn dileu’r gallu i ddirymu’r naill ochr na’r llall ar wahân. Ymrestru yw’r lle i gael hyn yn iawn, oherwydd mae ei drwsio’n ddiweddarach yn golygu ailddyroddi tystysgrifau.

Cadwch y contract rhwydwaith yn ddigyfnewid tra bo’r amddiffyn yn newid. Dylai’r un cyfeiriadau tiwnel, llwybrau a gwasanaethau a ganiateir fod yn berthnasol cyn ac ar ôl, fel bod methiant yn ystod y mudo yn broblem amddiffyn yn hytrach na syndod llwybro wedi’i guddio. Ysgrifennwch y cyfeiriadau a’r llwybrau i lawr cyn y newid; mae eu cymharu wedyn yn gyflymach na’u hailadfer o’r cof.

Mae rhai defnyddiadau hefyd yn amddiffyn y sianel reoli â’i hallwedd statig ei hun, nad yw’n cylchdroi gyda’r sianel ddata. Mae’r allwedd honno’n gwarchod yr ysgwyd llaw yn hytrach na’r llwyth, felly mae ei chyfaddawdu’n datgelu trafodaeth yn hytrach na thraffig. Storiwch hi ar wahân i ddeunydd y sianel ddata, a rhowch ddyddiad disodli iddi y mae person a enwir yn berchen arno. Mae ei chylchdroi’n golygu ailgychwyn y ddau gyfoed mewn ffenestr gydlynol, a dyna pam mae’n haeddu cofnod yn y calendr yn hytrach na chof.

Pwy sy’n adnewyddu beth, a phryd

Yn y modd TLS, mae adnewyddu’n cael ei yrru gan derfynau a ffurfweddwyd: cyfwng amser, cyfrif beitiau, neu gyfrif pecynnau. Y rheolaeth amser a ddogfennwyd yw’r hyn y mae’r rhan fwyaf o ddefnyddiadau yn dibynnu arno, a gall y gwerth effeithiol isaf ar draws y ddau gyfoed gychwyn y disodliad, felly ni fydd codi hynny ar un ochr yn unig yn dal y digwyddiad yn ôl. Mae terfynau yn seiliedig ar gyfaint yn bodoli oherwydd y gall cysylltiad prysur ddihysbyddu allwedd ymhell cyn i’r cloc wneud hynny. Nid yw’r naill derfyn na’r llall yn wiriad iechyd, ac nid yw’r naill na’r llall yn dweud wrthych fod adnewyddu wedi llwyddo.

Dyna pam mae gwneud diagnosis o aildrafodaeth sy’n digwydd dro ar ôl tro o un ffeil ffurfweddu yn gamarweiniol. Darllenwch y gosodiadau ar y ddau gyfoed, yna edrychwch ar y trawsnewidiad yn y cofnod yn hytrach na thybio nam. Mae adnewyddu sy’n cwblhau’n lân yn edrych fel ffrwydrad byr o draffig sianel reoli, nid fel datgysylltiad.

Cadwch y gwrthrychau ar wahân yn eich pen. Mae’r dystysgrif yn profi hunaniaeth hirdymor ac yn cael ei disodli yn ôl amserlen rydych chi’n ei rheoli. Mae allwedd y sianel ddata yn cael ei hadnewyddu’n awtomatig, ac mae cyfnewid dilysu ar wahân, os yw’r defnydd yn ei ofyn, yn dilyn polisi’r cyfrif ac efallai y bydd angen ei drefniadau ei hun ar gyfer cyfnewidiadau diweddarach.

Nid yw analluogi adnewyddu’n gyfan gwbl, drwy osod y cyfwng i sero, yn atgyweiriad i gofnod swnllyd. Mae’n troi digwyddiad cylch bywyd iach yn allwedd barhaol, sy’n eich dychwelyd at yr eiddo roeddech yn ceisio ei adael ar ôl.

Derbyn y newid

Adeiladwch y ffurfweddiad newydd o enghraifft gefnogir y rhyddhau a osodwyd, yn hytrach nag o hen ddarn lleiaf y cafodd ei algorythmau a’i lwybrau ffeil eu hetifeddu o rywle arall. Cydlynwch y newid fel bod y ddau gyfoed yn newid gyda’i gilydd, a chadwch lwybr adferiad a gymeradwywyd rhag ofn i un ochr fethu â chodi. Tynnwch y cysylltiad i lawr yn fwriadol yn hytrach nag aros am doriad i brofi’r rholio’n ôl. Mae rholio’n ôl rydych wedi’i ymarfer yn werth mwy na rholio’n ôl rydych wedi’i ddisgrifio.

Profwch dri pheth: mae dilysu hunaniaeth cychwynnol yn llwyddo, mae’r llif cymhwysiad arfaethedig yn gweithio, ac mae adnewyddu rheoledig yn digwydd heb golli traffig. Yna darllenwch y trawsnewidiad yn y cofnod am yr hyn y mae’n ei brofi mewn gwirionedd: mae dynodwr allwedd newydd yn golygu bod y cyfoedion wedi cwblhau disodliad, nid bod y tiwnel wedi ailgysylltu. Triniwch ef fel tystiolaeth o un cam, a gwiriwch y rhifyddion traffig cyn galw’r mudo yn gyflawn.

Yr hyn y byddai addewid o ddim toriad yn ei guddio yw’r methiant nad ydych wedi’i weld eto. Gall adnewyddu sy’n methu, tystysgrif sy’n dod i ben neu nam ar lwybr darfu ar y cysylltiad o hyd, ac nid oes yr un ohonynt yn cael ei ddiystyru gan rediad prawf glân. Mae’r eiddo sy’n werth dylunio ar ei gyfer yn gulach ac yn fwy defnyddiol: mae disodli allweddi arferol yn peidio â bod yn newid ffeil â llaw.