Gako estatikoko OpenVPN esteka batek hainbat bezero zerbitzatu ditzake?

Gako estatikoko moduak zehazki bi pare konektatzen ditu, eta hori bere diseinua da, ez inork kentzeko ahaztu zuen muga bat. client-to-client zerbitzari moduko birbidaltze aukera bat da, beraz --secret konfigurazio bati gehitzeak ez du ezer aldatzen zenbat bezerok konekta dezaketen. Erabakia ez da zein bandera gehitu, baizik eta hedapenak puntutik punturako esteka bat behar duen edo hainbat bezeroentzako zerbitzu bat. Hainbat gailuk modu independentean konektatu behar badute, babes modua aldatzen da eta gailu bakoitzak identitatea lortzen du.

Bi pare, gako bat eta bezero bakoitzeko egoerarik ez: forma hori da moduaren istorio osoa.

Zertarako da gako estatikoko modua

Sekretu moduan bi pareek gako fitxategi bakarra partekatzen dute, eta gako horrek trafikoa zuzenean babesten du. Ez dago esku-ukitzerik, ez ziurtagiri trukea, ez bezero bakoitzeko saioarik, zerbitzariaren zentzuan ez baitago bezerorik, bi mutur besterik ez.

Modua erabilgarria izaten jarraitzen du gakoen biraketa prozesu dokumentatua duen makina pare finko batentzat, eta OpenVPN 2.6k zaharkitu gisa markatzen du hain zuzen TLS moduak kasu horiek ezaugarri hobeekin estaltzen dituelako. Ezin duena da konektatzen den gailu bat bestetik bereiztea, fitxategiaren jabetza baita autentifikazioaren istorio osoa. Hirugarren gailu bat gehitzeak gako bera harekin partekatzea esan nahi du, eta ondoren lehen bik ezin dute jada bere burutik bereizi.

Horregatik bi pareen muga egiturazkoa da, eta ez aldatu daitekeen ezarpena.

Zergatik client-to-client ez den falta den pieza

client-to-client konektatutako bezeroek zerbitzariaren bidez trafikoa trukatu dezaketen kontrolatzen du. Ez du bezerorik onartzen, ez du identitaterik ematen eta ez du konfiguratu gabeko zerbitzari modurik sortzen, eta gako estatikoaren konfigurazioan ez dago harekin gobernatzeko bezero zerrendarik.

Beste nahasmen arrunta tls-crypt edo tls-auth materialari buruzkoa da. TLS zerbitzari batek gako horietako bat bezero guztien artean parteka dezake, kontrol kanala babesten duelako, bezero bakoitza nor den frogatu beharrean. TLS moduko kontrol kanaleko gako partekatua data gako estatiko partekatu batetik desberdina da, biak antzeko itxura duten fitxategi gisa iritsi arren.

Moduen arteko hautua bi galderetara laburbiltzen da. Gailu batek baino gehiagok modu independentean konektatu behar du, eta hedapenak gailu bakoitzeko baliogabetzea behar du? Biei ezetz esateak gako estatikoko modua bizirik mantentzen du; edozeini baiez esateak TLSera bideratzen du. Ez dago hirugarren aukerarik non bigarren bezero bat onartzen den bere identitaterik gabe.

Hainbat bezeroentzako zerbitzaria eraikitzea

Hainbat bezeroentzako zerbitzari batek TLS modua, zerbitzari aldeko ziurtagiria eta bezero bakoitzeko identitatea behar ditu. Zerbitzariaren laguntzaileak helbide multzoa eta bezero anitzeko modua ezartzen ditu, baina ez du TLS konfigurazioa, konfiantza aingura edo onarpena esanguratsu egiten duten bezero ziurtagiriak hornitzen.

Erregistra ezazu gailu bakoitza lehendik dagoen ziurtagiri autoritatearen bidez, bezero baten kredentzialak kopiatu ordez. Identitate desberdinek egiten dituzte posible baliogabetzea, bezero bakoitzeko bideratzea eta erabilgarriak diren erregistroak, eta partekatutako bezero ziurtagiri bakar batek hirurak hondatzen ditu.

Hedapenak erabiltzaileak kanpo direktorio edo bigarren faktore baten bidez autentifikatzen baditu, diseinu hori dagoen bezala geratzen da. TLS zerbitzari modura pasatzeak erabakitzen du nola frogatzen diren pareak tunel geruzan, eta ez du kontu backend-a agintzen. Eutsi bi erabakiak bereizita, bateko aldaketak bestea isilean alda ez dezan.

Gero erabaki birbidaltze politika modu kontzientean. client-to-client erabiltzaile espazioko zerbitzari bidean bezero arteko trafikoa gaitzen du, hedapen askok nahi dutena eta batzuek ezin dutena izan. Politika etengailua da, ez identitate mekanismoa, eta diseinuak eskatzen duelako piztu behar da, eta ez tutorial batek sartu zuelako.

Bezeroak benetan independenteak direla egiaztatzea

Konektatu bi bezero eta egiaztatu helbide desberdinak jasotzen dituztela eta identitate desberdinekin agertzen direla zerbitzariaren erregistroan. Gero baliogabetu bat eta egiaztatu besteak funtzionatzen jarraitzen duela, hau da identitateak ez zirela partekatu proba praktikoa.

Probatu pareen artean baimendutako zerbitzua eta blokeatuta egon behar duen bat. Bi saio-haste arrakastatsuk onarpena frogatzen dute, ez isolamendua, eta aldea garrantzitsua da hedapenak erabiltzaile taldeak bereizi behar dituenean.

Azkenik, irakurri zerbitzari modua exekutatzen ari den konfiguraziotik eta ez memoriarik. Gako estatikoko konfigurazioak aukera gehigarriekin oraindik puntutik punturako esteka bat da, eta TLS zerbitzari zuzena da hainbat bezero benetan pare bereiziak diren antolamendu bakarra.

Erregistroak gailu bakoitzeko izen komun bakarra erakusten badu, arazoa ez da modua. Arazoa erregistratze prozesua da.