Χρειάζεται κάθε peer του OpenVPN μια γραμμή remote; Όχι ακριβώς
Το remote ορίζει πού πηγαίνει το πρώτο πακέτο· δεν επιλέγει τον ρόλο πελάτη, διακομιστή ή TLS. Διαβάστε τη διάταξη πριν την αντιγράψετε και στις δύο πλευρές.
Δύο ρυθμίσεις peer συγκρίνονται δίπλα-δίπλα, η μία έχει γραμμή remote και η άλλη όχι, και το συμπέρασμα είναι ότι μία από τις δύο είναι χαλασμένη. Αυτό το συμπέρασμα είναι λανθασμένο αρκετά συχνά ώστε να αξίζει ανάλυση. Η οδηγία περιγράφει πού πρέπει να σταλεί το πρώτο πακέτο. Δεν επιλέγει αν η διεργασία ενεργεί ως πελάτης που ξεκινά ή ως πύλη που περιμένει, και δεν αποφασίζει ποια πλευρά αποδεικνύει την ταυτότητά της στην άλλη.
Τι καθορίζει πραγματικά το remote
Μια καταχώριση remote ονομάζει έναν κεντρικό υπολογιστή, προαιρετικά μια θύρα και ένα μεταφορικό μέσο, και προαιρετικά πολλές τέτοιες καταχωρίσεις που δοκιμάζονται με σειρά.
Η απουσία της έχει καθορισμένη και όχι ακαθόριστη σημασία: η διεργασία περιμένει και δεν ενεργεί σε πακέτα από μια διεύθυνση εκτός αν αυτό το peer πιστοποιηθεί. Επομένως μια πύλη που εξυπηρετεί περιοδεύοντες χρήστες δεν έχει λόγο να ονομάσει κανέναν από αυτούς εκ των προτέρων.
Διαβάστε την καταχώριση ως σχέση διευθύνσεων. Το αν το απέναντι άκρο είναι αξιόπιστο το απαντούν τα πιστοποιητικά και οι επιλογές επαλήθευσης, όχι το γεγονός ότι γράφτηκε μια διεύθυνση.
Τρεις διατάξεις αποφασίζουν την απάντηση
Ένας περιοδεύων πελάτης χρειάζεται προορισμό, γιατί πρέπει να ξεκινήσει και χωρίς αυτόν δεν ξέρει πού είναι η πύλη. Μια πύλη πολλών πελατών δεν χρειάζεται προορισμό ανά χρήστη, γιατί οι πελάτες φτάνουν και πιστοποιούνται. Μια σκόπιμη ζεύξη δύο peer με γνωστά άκρα μπορεί να έχει προορισμό στη μία πλευρά, και στις δύο ή σε καμία, ανάλογα με το ποια πλευρά ξεκινά.
Το να κολλήσετε μια σταθερή διεύθυνση πελάτη σε μια γενική πύλη είναι το λάθος που προκύπτει από την αγνόηση αυτών των κατηγοριών. Λειτουργεί για το ένα peer του οποίου η διεύθυνση καταγράφηκε και παραπλανά όλους τους άλλους.
Τίποτα στην οδηγία δεν μετατρέπει μια ρύθμιση σε διακομιστή πολλών πελατών, και τίποτα στην παρουσία της δεν εμποδίζει ρόλο διακομιστή. Η αναφορά του OpenVPN 2.6 τεκμηριώνει τα προαιρετικά ορίσματα και τη συμπεριφορά χωρίς remote ξεχωριστά, κάτι που είναι μια ένδειξη για το πόσο ανεξάρτητα είναι.
| Arrangement | Needs a destination |
|---|---|
| Roaming client | Yes, which gateway to contact |
| Multi-client gateway | No, peers authenticate on arrival |
| Two known peers | Depends on which side initiates |
Οι ρόλοι μεταφοράς είναι άλλος άξονας
Στο TCP η μία πλευρά περιμένει και η άλλη καλεί. Αυτές είναι ξεχωριστές οδηγίες από τον προορισμό, και η ανάμειξή τους παράγει ένα ζεύγος που και οι δύο περιμένουν ή και οι δύο καλούν.
Υπάρχει επίσης ρόλος φίλτρου πηγής TCP, γι’ αυτό η επίπεδη δήλωση ότι ένας διακομιστής δεν μπορεί ποτέ να περιέχει remote είναι λανθασμένη.
Στο UDP δεν υπάρχει σύνδεση να εγκατασταθεί, οπότε και τα δύο άκρα χρησιμοποιούν την αντίστοιχη μεταφορά UDP και η οδηγία λέει μόνο πού να στοχεύσει. Οι αλλαγές διεύθυνσης από πιστοποιημένο peer αντιμετωπίζονται από ειδική συμπεριφορά και όχι με προσθήκη περισσότερων καταχωρίσεων. Το να είναι σωστή η μεταφορά είναι προϋπόθεση για να σημαίνει κάτι ο προορισμός, και η σύγχυση των δύο παράγει ρυθμίσεις που φαίνονται εύλογες και δεν ολοκληρώνουν ποτέ μια χειραψία.
Γιατί ένα απόν remote δεν είναι ανοιχτή πόρτα
Μια διεργασία χωρίς προορισμό εξακολουθεί να απορρίπτει κίνηση από peer που δεν πιστοποιούνται, και αυτό είναι το μέρος που χάνουν οι άνθρωποι όταν διαβάζουν την απόν γραμμή ως ακροατή ανοιχτό σε οποιονδήποτε.
Η πιστοποίηση και ο προορισμός είναι ανεξάρτητα, και το πρώτο είναι αυτό που μετράει για την εμπιστοσύνη.
Το αντίστροφο λάθος είναι πιο επικίνδυνο. Μια σταθερή διεύθυνση πηγής μπορεί να μοιάζει με έλεγχο πρόσβασης επειδή είναι συγκεκριμένη και εύκολη στον έλεγχο, αλλά δεν αποδεικνύει τίποτα για το ποιος βρίσκεται στο άλλο άκρο. Κρατήστε την επαλήθευση πιστοποιητικών και τους ελέγχους ταυτότητας που δεσμεύουν ένα πιστοποιητικό στον ρόλο του. Η αντικατάστασή τους με αντιστοίχιση διεύθυνσης ανταλλάσσει πραγματικό έλεγχο με την εμφάνισή του.
Γράψτε τι υποθέτει η ρύθμιση
Για κάθε πλευρά, καταγράψτε τρία πράγματα: πώς το πρώτο πακέτο φτάνει στο peer, ποια πλευρά μπορεί να δεχτεί τη μεταφορά και τι επαληθεύει κάθε πλευρά για την άλλη.
Αυτές οι υποθέσεις είναι ο σχεδιασμός. Οι οδηγίες είναι μόνο η ορθογραφία τους.
Αν τα δύο αρχεία διαφέρουν, ελέγξτε αν εκφράζουν διαφορετικές υποθέσεις αντί να υποθέσετε ότι ένα είναι λάθος. Ένα συμμετρικό ζεύγος αρχείων δεν είναι ούτε αναγκαίο ούτε επαρκές για μια τούνελ που λειτουργεί, και η ασυμμετρία είναι συχνά το μέρος που κάνει μια τοπολογία να λειτουργεί.