Hat elke OpenVPN-peer in remote-rigel nedich? Net krekt
remote neamt wêr’t it earste pakket hinne giet; it kiest net de kliïnt-, tsjinner- of TLS-rol. Lês de opstelling foardat jo it nei beide kanten kopiearje.
Twa peer-konfiguraasjes wurde njonken elkoar ferlike, de iene hat in remote-rigel en de oare net, en de konklúzje is dat ien fan har brutsen is. Dy konklúzje is faak genôch ferkeard om it útinoar te heljen. De rjochtline beskriuwt wêr’t it earste pakket hinne stjoerd wurde moat. It kiest net oft it proses as inisjearjende kliïnt of as wachtende poarte optreedt, en it beslút net hokker kant syn identiteit oan de oare bewissiget.
Wat remote eins spesifisearret
In remote-ynfier neamt in host, opsjoneel in poarte en in transport, en opsjoneel ferskate sokke ynfierren om op folchoarder te besykjen.
Syn ôfwêzigens hat in bepaalde betsjutting en net in ûnbepaalde: it proses wachtet en hannelet net op pakketten fan in adres, útsein as dy peer autentisearret. In poarte dy’t roaming-brûkers betsjinnet hat dêrom gjin reden om ien fan har foarôf te neamen.
Lês de ynfier as in adresferhâlding. Oft it fiere ein fertroud is, beäntwurdzje sertifikaten en de ferifikaasje-opsjes, net it feit dat der in adres opskreaun is.
Trije opstellings beslute it antwurd
In roaming-kliïnt hat in bestimming nedich, want it moat inisjearje en it wit sûnder ien net wêr’t de poarte is. In poarte foar in protte kliïnten hat gjin bestimming per brûker nedich, want kliïnten komme en autentisearje. In bewuste keppeling tusken twa peers mei bekende einpunten kin oan ien kant, oan beide kanten of oan gjin kant in bestimming hawwe, ôfhinklik fan hokker kant inisjearret.
In fêst kliïntadres yn in algemiene poarte plakke is de flater dy’t folget út it negearjen fan dy kategoryen. It wurket foar de iene peer waans adres fêstlein waard en misliedt alle oaren.
Neat oan ’e rjochtline makket in konfiguraasje in tsjinner foar in protte kliïnten, en neat oan syn oanwêzigens ferhindert in tsjinnerrol. De OpenVPN 2.6-referinsje dokumintearret de opsjonele arguminten en it gedrach sûnder remote apart, wat in oanwizing is foar hoe ûnôfhinklik se binne.
| Arrangement | Needs a destination |
|---|---|
| Roaming client | Yes, which gateway to contact |
| Multi-client gateway | No, peers authenticate on arrival |
| Two known peers | Depends on which side initiates |
Transportrollen binne in oare as
By TCP wachtet de iene kant en de oare kiest. Dat binne aparte rjochtlinen fan ’e bestimming, en se te mingen jout in pear wêrby’t beide wachtsje of beide kieze.
Der is ek in TCP-boarnefilterrol, en dêrom is de platte bewearing dat in tsjinner nea remote befetsje mei ferkeard.
By UDP is der gjin ferbining oan te lizzen, dus beide einen brûke it oerienkommende UDP-transport en de rjochtline seit allinnich wêr’t op rjochte wurde moat. Adresferoarings troch in autentisearre peer wurde troch tawijd gedrach hanthanne en net troch mear ynfierren ta te foegjen. It transport goed krije is in betingst foar’t de bestimming wat betsjut, en de twa trochinoar helje jout konfiguraasjes dy’t leauweardich lykje en nea in hânskodding foltôgje.
Wêrom’t in ôfwêzige remote gjin iepen doar is
In proses sûnder bestimming wegeret noch altyd ferkear fan peers dy’t net autentisearje, en dat is it part dat minsken misse as se de ôfwêzige rigel lêze as in harker dy’t foar elkenien iepen is.
Autentikaasje en bestimming binne ûnôfhinklik, en de earste is dejinge dy’t foar fertrouwen fan belang is.
De omkearde flater is gefaarliker. In fêst boarne-adres kin as tagongskontrôle fiele om’t it spesifyk en maklik te kontrolearjen is, mar it bewissiget neat oer wa’t oan ’e oare kant is. Hâld sertifikaatferifikaasje, en hâld de identiteitskontrôles dy’t in sertifikaat oan syn rol bine. Se ferfange troch in adres-oerienkomst ruilet in echte kontrôle foar it skyn dêrfan.
Skriuw op wat de konfiguraasje oannimt
Foar elke kant, skriuw trije dingen op: hoe’t it earste pakket de peer berikt, hokker kant it transport akseptearje kin, en wat elke kant oer de oare ferifiearret.
Dy oannames binne it ûntwerp. De rjochtlinen binne allinnich har stavering.
As de twa bestannen ferskille, kontrolearje dan oft se ferskate oannames uterje ynstee fan oan te nimmen dat ien ferkeard is. In symmetrysk pear bestannen is noch nedich noch genôch foar in wurkjende tunnel, en de asymmetry is faak it part dat in topology wurkje lit.