OpenVPN peer bakoitzak remote lerroa behar du? Ez zehazki
remote-k lehen paketea norantz doan adierazten du; ez du bezero, zerbitzari edo TLS rolaren hautua egiten. Irakurri antolamendua bi alderdietara kopiatu aurretik.
Bi peer konfigurazio alboz albo alderatzen dira, batek remote lerroa du eta besteak ez, eta ondorioa da horietako bat hondatuta dagoela. Ondorio hori maiz nahikoa okerra da aztertzea merezi izateko. Zuzentarauak lehen paketea norantz bidali behar den deskribatzen du. Ez du hautatzen prozesuak bezero hasiarazle edo itxaroten duen ate gisa jokatzen duen, eta ez du erabakitzen zein aldek frogatzen duen bere identitatea bestearen aurrean.
Zer zehazten duen remote-k benetan
remote sarrera batek host bat izendatzen du, aukeran portu bat eta garraio bat, eta aukeran halako hainbat sarrera ordenan probatzeko.
Haren absentziak esanahi zehatza du, ez zehaztugabea: prozesuak itxaroten du eta ez du helbide bateko paketeetan jarduten peer hori autentifikatzen ez bada. Beraz, erabiltzaile ibiltariak zerbitzatzen dituen ate batek ez du aurrez inor izendatzeko arrazoirik.
Irakurri sarrera helbide-harreman gisa. Urruneko muturra fidagarria den erantzuten dute ziurtagiriek eta egiaztapen-aukerak, ez helbide bat idatzita egon izanak.
Hiru antolamenduk erabakitzen dute erantzuna
Bezero ibiltariak helmuga behar du, hasi behar duelako eta hura gabe ez dakielako non dagoen atea. Bezero anitzeko ateak ez du erabiltzaile bakoitzeko helmugarik behar, bezeroak iritsi eta autentifikatu egiten direlako. Mutur ezagunak dituen bi peeren arteko lotura nahitakoak helmuga izan dezake alde batean, bi aldeetan edo batean ere ez, zein aldek hasten duen arabera.
Bezeroaren helbide finko bat ate orokor batean itsastea kategoria horiek ez ikustearen ondoriozko akatsa da. Helbidea erregistratu zitzaion peer bakarrarekin funtzionatzen du eta beste guztiak engainatzen ditu.
Zuzentarauean ezerk ez du konfigurazio bat bezero anitzeko zerbitzari bihurtzen, eta haren presentziak ez du zerbitzari-rola eragozten. OpenVPN 2.6 erreferentziak argumentu aukerakoak eta remote gabeako jokabidea bereiz dokumentatzen ditu, eta hori haien independentziaren arrastoa da.
| Arrangement | Needs a destination |
|---|---|
| Roaming client | Yes, which gateway to contact |
| Multi-client gateway | No, peers authenticate on arrival |
| Two known peers | Depends on which side initiates |
Garraio-rolak beste ardatz bat dira
TCPrekin alde bat itxaroten dago eta besteak deitzen du. Helmugarekiko zuzentarau bereiziak dira, eta biak nahasteak biak itxaroten dituen edo biak deitzen dituen bikotea sortzen du.
TCP iturburu-iragazkiaren rola ere badago, eta horregatik da okerra zerbitzariak inoiz remote eduki ezin duela dioen esaldi laua.
UDPrekin ez dago ezartzeko konexiorik, beraz bi muturrek dagokien UDP garraioa erabiltzen dute eta zuzentarauak norantz begiratu besterik ez du esaten. Autentifikatutako peer baten helbide-aldaketak jokabide dedikatuak kudeatzen ditu, eta ez sarrera gehiago gehitzeak. Garraioa ondo asmatzea helmugak zerbait esan dezan aurretiko baldintza da, eta biak nahasteak sinesgarri diruditen eta inoiz eskuko agurra osatzen ez duten konfigurazioak sortzen ditu.
Zergatik ez den remote falta ate irekia
Helmugarik gabeko prozesu batek autentifikatzen ez duten peeren trafikoa ukatzen du oraindik, eta hori da jendeak ahazten duen zatia lerro falta edonorentzat irekitako entzule gisa irakurtzean.
Autentifikazioa eta helmuga independenteak dira, eta lehena da konfiantzarako garrantzitsua.
Alderantzizko akatsa arriskutsuagoa da. Iturburu-helbide finko bat sarbide-kontrola bezala senti daiteke zehatza eta erraz egiaztatzen delako, baina ez du ezer frogatzen beste muturrean nor dagoen. Mantendu ziurtagirien egiaztapena eta ziurtagiri bat bere rolari lotzen dioten identitate-egiaztapenak. Helbide-kointzidentzia batekin ordezkatzeak benetako kontrola itxurarekin trukatzen du.
Idatzi konfigurazioak zer suposatzen duen
Alde bakoitzerako, idatzi hiru gauza: nola iristen den lehen paketea peer-era, zein alde den gai garraioa onartzeko eta zer egiaztatzen duen alde bakoitzak besteaz.
Suposizio horiek dira diseinua. Zuzentarauak haien idazkera besterik ez dira.
Bi fitxategiak desberdinak badira, egiaztatu suposizio desberdinak adierazten dituzten ala ez, bat oker dagoela suposatu beharrean. Fitxategi-bikote simetriko bat ez da beharrezkoa ezta nahikoa ere tunel funtzional baterako, eta asimetria da sarritan topologia bat funtzionarazten duen zatia.