Ĉu OpenVPN-ligo kun statika ŝlosilo povas servi plurajn klientojn?

La reĝimo kun statika ŝlosilo ligas ĝuste du samrangulojn, kaj tio estas ĝia konstruo, ne limigo kiun iu forgesis forigi. client-to-client estas plusenda opcio de la servila reĝimo, do aldoni ĝin al --secret agordo tute ne ŝanĝas kiom da klientoj povas konektiĝi. La decido ne estas kiun flagon aldoni, sed ĉu la enkonduko bezonas punkt-al-punktan ligon aŭ servon por pluraj klientoj. Se pluraj aparatoj devas konektiĝi sendepende, la protekta reĝimo ŝanĝiĝas kaj ĉiu aparato ricevas identecon.

Du samranguloj, unu ŝlosilo kaj neniu stato laŭ kliento: tiu formo estas la tuta rakonto de la reĝimo.

Por kio utilas la reĝimo kun statika ŝlosilo

En la sekreta reĝimo ambaŭ samranguloj kunhavas unu ŝlosilan dosieron, kaj tiu ŝlosilo rekte protektas la trafikon. Mankas manpremo, mankas interŝanĝo de atestiloj kaj mankas seanco laŭ kliento, ĉar ne estas klientoj en la servila senco, nur du finpunktoj.

La reĝimo restas utila por fiksa paro de maŝinoj kun dokumentita procezo de ŝlosila rotacio, kaj OpenVPN 2.6 markas ĝin malaktuala ĝuste ĉar la TLS-reĝimo kovras tiujn kazojn per pli bonaj ecoj. Kion ĝi ne povas, estas distingi unu konektiĝantan aparaton de alia, ĉar la posedo de la dosiero estas la tuta rakonto de aŭtentigo. Aldoni trian aparaton signifas kunhavigi la saman ŝlosilon kun ĝi, post kio la unuaj du jam ne povas distingi ĝin de si mem.

Tial la limo de du samranguloj estas struktura, ne agordo kiun oni povus ŝanĝi.

Kial client-to-client ne estas la mankanta peco

client-to-client regas ĉu konektitaj klientoj rajtas interŝanĝi trafikon tra la servilo. Ĝi ne akceptas klientojn, ne atribuas identecojn kaj ne kreas servilan reĝimon kiu ne estis agordita, kaj en agordo kun statika ŝlosilo mankas klienta listo por ĝi regi.

La alia ofta konfuzo rilatas al materialo de tls-crypt aŭ tls-auth. TLS-servilo povas kunhavigi unu el tiuj ŝlosiloj inter ĉiuj klientoj, ĉar ĝi protektas la regan kanalon anstataŭ pruvi kiu estas ĉiu kliento. Kunhavigita rega-kanala ŝlosilo en TLS-reĝimo estas alia objekto ol kunhavigita statika datumŝlosilo, kvankam ambaŭ alvenas kiel simile aspektaj dosieroj.

La elekto inter la reĝimoj reduktiĝas al du demandoj. Ĉu pli ol unu aparato devas konektiĝi sendepende, kaj ĉu la enkonduko bezonas revokon laŭ aparato? Ne al ambaŭ konservas la statikan reĝimon vivipova; jes al iu ajn el ili montras al TLS. Ne ekzistas tria opcio kie dua kliento estas akceptata sen propra identeco.

Konstrui la servilon por pluraj klientoj

Servilo por pluraj klientoj bezonas TLS-reĝimon, atestilon ĉe la servila flanko kaj identecon laŭ kliento. La servila helpilo agordas la adresaron kaj la plurklientan reĝimon, sed ĝi ne liveras la TLS-agordon, la fidan ankron aŭ la klientajn atestilojn kiuj donas sencon al akcepto.

Registru ĉiun aparaton per la ekzistanta atestila aŭtoritato anstataŭ kopii la akreditaĵojn de unu kliento. Distingaj identecoj estas tio, kio ebligas revokon, enkursigadon laŭ kliento kaj utilajn protokolojn, kaj unu kunhavigita klienta atestilo faligas ĉiujn tri.

Se la enkonduko aŭtentigas uzantojn per ekstera dosierujo aŭ dua faktoro, tiu konstruo restas kia ĝi estas. Transiro al TLS-servila reĝimo decidas kiel la samranguloj pruvas sin ĉe la tunela tavolo, kaj ĝi ne diktas la kontan malantaŭon. Tenu la du decidojn aparte por ke ŝanĝo en unu ne silente aliigu la alian.

Poste decidu la plusendan politikon konscie. client-to-client ebligas trafikon inter klientoj en la servila vojo en uzanta spaco, kion multaj enkondukoj volas kaj kelkaj ne rajtas havi. Ĝi estas politika ŝaltilo, ne identeca mekanismo, kaj ĝi ŝaltiĝu ĉar la konstruo postulas tion, ne ĉar lernilo inkluzivis ĝin.

Kontroli ke la klientoj vere sendependas

Konektu du klientojn kaj konfirmu ke ili ricevas malsamajn adresojn kaj aperas kun malsamaj identecoj en la protokolo de la servilo. Poste revoku unu kaj konfirmu ke la alia daŭre funkcias, kio estas la praktika provo ke la identecoj ne estis kunhavigitaj.

Testu la permesitan servon inter samranguloj kaj unu kiu devus resti blokita. Du sukcesaj ensalutoj pruvas akcepton, ne izolecon, kaj la diferenco gravas kiam la enkonduko devas apartigi grupojn de uzantoj.

Fine, legu la servilan reĝimon el la kuranta agordo anstataŭ el memoro. Agordo kun statika ŝlosilo kaj pliaj opcioj ankoraŭ estas punkt-al-punkta ligo, kaj ĝusta TLS-servilo estas la sola aranĝo en kiu pluraj klientoj estas vere apartaj samranguloj.

Se la protokolo montras unu komunan nomon por ĉiu aparato, la reĝimo ne estas la problemo. La registra procezo estas.