Gako estatikoa edo TLS bi pareen arteko OpenVPN estekarako?

Bakarrik elkarrekin hitz egiten duten bi makinak topologia horri eutsi eta negoziatutako trafiko gakoak lor ditzakete. Sarearen forma eta babes modua hautapen independenteak dira, eta biak nahasteak bultzatzen ditu pertsonak sekretu estatikoa biratzen saiatzera fitxategi bat ordezkatuz, bi daemonak martxan jarraitzen duten bitartean. Martxan dagoen bikote baten azpian gako fitxategia aldatzeak ez du ezer biratzen. Gako estatikoaren moduak, OpenVPN 2.6k zaharkitutzat markatzen duenak, gako bakarra edukitzen du tunelaren bizitza osoan, beraz diskoan dagoen fitxategia eta memorian dagoen gakoa berriro bat etorriko dira bi muturrak berrabiarazi ondoren soilik. Berritze automatikoa baldintza bada, babes moduak aldatu behar du.

Gako estatikoaren moduak egin ezin duena

Sekretu moduan, bi pareek aldez aurretik partekatutako gako bat partekatzen dute, tunela zuzenean zifratzen eta autentifikatzen duena. Ez dago eskuko ematerik, beraz ez dago mekanismorik inongo aldek gako-material berria proposatzeko, identitate bat frogatzeko edo desadostasun batetik operadorearen esku-hartzerik gabe berreskuratzeko. Bi propietateak kontrol-kanal baten absentziatik datoz, ez falta den aukera batetik, eta inongo konfigurazio-banderek ez dute bat gehitzen modu honi.

OpenVPN 2.6 eskuliburuak argi dio gakoak irauten duela berri bat sortu arte. Hori onargarria da laborategiko esteka batentzat edo biratze-prozedura dokumentatua duen gailu bikote finko batentzat, eta onartezina da sekretu luzea benetako arriskua den lekuan. Fitxategi bat aldatzeak ez dio gako berririk sortzen martxan dagoen bikote bati; desados dauden bi pare sortzen ditu. Fitxategia ordezkatzeak, beraz, etena gehitzen du, biratzea gehitu gabe.

Ez dago pare-identitatearen noziorik fitxategia edukitzeaz harago ere. Gakoa duen edonor pare bat da, eta tunelak ez du erregistratzen zein alde den zein, beraz baliogabetzea dena edo ezer ez da.

TLSra pasatzea esteka berriz diseinatu gabe

TLS moduak kontrol-kanal bat gehitzen du, eta harekin datu-kanaleko gakoak negoziatzeko gaitasuna. Puntutik punturako ezarpen batean, alde batek zerbitzariaren rola hartzen du eta besteak bezeroarena, baina topologiak bi pareen arteko esteka izaten jarraitzen du: alde bakoitzak bestearen amaiera-puntua ezagutzen du, eta ez da poolik ez erabiltzaile anitzeko zerbitzurik agertzen. Rolak eskuko ematearen xehetasun bat dira, ez arkitektura berri bat.

Eman makina bakoitzari bere identitatea. Alde bakoitzak ziurtagiri bat eta gako pribatu bat behar ditu, bestea baliozkotzen duen konfiantza-ankla, eta espero dena izendatzen duen pare-egiaztatze araua. Ez berrerabili pare baten gako pribatua bestean denbora aurrezteko; horrek bi identitate bat bihurtzen ditu eta edozein alde bereiz baliogabetzeko gaitasuna kentzen du. Izen-ematea da hori ondo egiteko lekua, geroago konpontzeak ziurtagiriak berriro jaulkitzea esan nahi duelako.

Mantendu sare-kontratua aldatu gabe babesa aldatzen den bitartean. Tunel helbide, ibilbide eta baimendutako zerbitzu berak aplikatu beharko lirateke aurretik eta ondoren, migrazioan zehar huts egite bat babes-arazo izan dadin, ez bideratze-sorpresa mozorrotua. Idatzi helbideak eta ibilbideak aldaketaren aurretik; geroago alderatzea memoriatik berreraikitzea baino azkarragoa da.

Ezarpen batzuek kontrol-kanala bere gako estatikoarekin babesten dute, datu-kanalarekin biratzen ez dena. Gako horrek eskuko ematea zaintzen du, ez karga erabilgarria, beraz haren konpromisoak negoziazioa agerian uzten du, ez trafikoa. Gorde ezazu datu-kanaleko materialetik bereizita, eta eman izendatutako pertsona batek duen ordezkatze-data bat. Hura biratzeak bi pareak leiho koordinatu batean berrabiaraztea esan nahi du, eta horregatik egutegiko sarrera bat merezi du, ez memoria bat.

Nork zer berritzen du, eta noiz

TLS moduan, berritzea konfiguratutako mugek gidatzen dute: denbora-tarte batek, byte-kopuru batek edo pakete-kopuru batek. Dokumentatutako denbora-kontrola da ezarpen gehienek fidatzen dutena, eta bi pareen arteko balio eraginkor baxuenak ordezkatzea has dezake, beraz alde bakarrean igotzeak ez du gertaera atxikiko. Bolumeneko mugek existitzen dira esteka lanpetuta batek gakoa erlojuak baino askoz lehenago agortu dezakeelako. Bi mugetako bat ere ez da osasun-egiaztapen bat, eta batek ere ez dizu esaten berritze bat lortu den.

Horregatik da engainagarria konfigurazio-fitxategi bakar batetik errepikatzen den birkonponketa bat diagnostikatzea. Irakurri ezarpenak bi pareetan, eta gero begiratu erregistroko trantsizioari, hutsegite bat suposatu beharrean. Garbi osatzen den berritze bat kontrol-kanaleko trafiko bolada labur bat bezala agertzen da, ez deskonexio bat bezala.

Eduki objektuak bereiz buruan. Ziurtagiriak epe luzeko identitatea frogatzen du eta zuk kontrolatzen duzun egutegi baten arabera ordezkatzen da. Datu-kanaleko gakoa automatikoki freskatzen da, eta autentifikazio-truke bereizi bat, ezarpenean beharrezkoa bada, kontuaren politikari jarraitzen dio eta bere antolamenduak behar ditzake geroagoko trukeetarako.

Berritzea erabat desgaitzeak, tartea zerora jarriz, ez da erregistro zaratatsu baterako konponbidea. Bizitzako zikloaren gertaera osasuntsu bat gako iraunkor bihurtzen du, eta horrek utzi nahi zenion propietatera itzultzen zaitu.

Aldaketa onartzea

Eraiki konfigurazio berria instalatutako argitalpenaren onartutako adibidetik, beste nonbaitetik heredatutako algoritmo eta fitxategi-bideekin dagoen gutxieneko zati zahar batetik beharrean. Koordinatu etengailua bi pareak elkarrekin alda daitezen, eta eduki berreskuratze-bide onartu bat alde bat altxatzen ez bada. Jaitsi esteka nahita, rollbacka probatzeko eten bat itxaron beharrean. Entseatu duzun rollback batek deskribatu duzun rollback batek baino gehiago balio du.

Probatu hiru gauza: hasierako identitate-egiaztapena lortzen da, aurreikusitako aplikazio-fluxua funtzionatzen du, eta berritze kontrolatu bat trafikoa galdu gabe gertatzen da. Gero irakurri erregistroko trantsizioa benetan zer frogatzen duen jakiteko: gako-identifikatzaile berri batek pareek ordezkatze bat osatu dutela esan nahi du, ez tunelak berriro konektatu duenik. Hartu urrats bakarreko froga gisa, eta egiaztatu trafiko-kontagailuak migrazioa amaitutzat eman aurretik.

Etendurarik gabeko promesa batek ezkutatuko lukeenaren artean, oraindik ikusi ez duzun hutsegitea dago. Huts egiten duen berritze batek, iraungitzen den ziurtagiri batek edo bide-errore batek oraindik esteka asal dezake, eta horietako bat ere ez da baztertzen proba garbi batekin. Diseinatzeko merezi duen propietatea estuagoa eta erabilgarriagoa da: ohiko gakoen ordezkatzea eskuzko fitxategi-aldaketa izateari uzten dio.