Kin in OpenVPN-ferbining mei statyske kaai ferskate kliïnten betsjinje?

De modus mei statyske kaai ferbynt krekt twa pearen, en dat is syn ûntwerp, net in beheining dy’t immen fergetten is op te heffen. client-to-client is in trochstjoeropsje yn ’e tsjinnermodus, dus it tafoegjen dêrfan oan in --secret konfiguraasje feroaret neat oan hoefolle kliïnten ferbine kinne. De beslissing is net hokker flagge tafoege wurde moat, mar oft de útrulling in punt-nei-punt ferbining of in tsjinst foar meardere kliïnten nedich hat. As ferskate apparaten ûnôfhinklik ferbine moatte, feroaret de beskermingsmodus en elk apparaat krijt in identiteit.

Twa pearen, ien kaai en gjin tastân per kliïnt: dy foarm is it hiele ferhaal fan ’e modus.

Dêr’t de modus mei statyske kaai foar is

Yn ’e geheime modus diele beide pearen ien kaai-bestân, en dy kaai beskermet it ferkear direkt. Der is gjin hânjaan, gjin sertifikaatútwikseling en gjin sesje per kliïnt, om’t der gjin kliïnten yn ’e tsjinnerbetekenis binne, allinnich twa einpunten.

De modus bliuwt nuttich foar in fêst pear masines mei in dokumintearre kaairotasjeproses, en OpenVPN 2.6 markearret him as ferâldere krekt om’t de TLS-modus dy gefallen mei bettere eigenskippen dekt. Wat er net kin, is it iene ferbinende apparaat fan it oare ûnderskiede, om’t it besit fan it bestân it hiele ferhaal fan ’e autentikaasje is. It tafoegjen fan in tredde apparaat betsjut deselde kaai dermei diele, wêrnei’t de earste twa it net mear fan harsels ûnderskiede kinne.

Dêrom is de grins fan twa pearen struktureel en net in ynstelling dy’t feroare wurde kin.

Wêrom client-to-client net it ûntbrekkende stik is

client-to-client regelet oft ferbûne kliïnten ferkear útwikselje meie fia de tsjinner. It lit gjin kliïnten ta, jout gjin identiteiten en makket gjin tsjinnermodus dy’t net konfigurearre is, en yn in konfiguraasje mei statyske kaai is der gjin kliïntelist om te bestjoeren.

De oare gongbere betizing giet oer materiaal foar tls-crypt of tls-auth. In TLS-tsjinner kin ien fan dy kaaien oer alle kliïnten diele, om’t er it kontrôlekanaal beskermet ynstee fan te bewizen wa’t elke kliïnt is. In dielde kaai foar it kontrôlekanaal yn ’e TLS-modus is in oar objekt as in dielde statyske gegevenskaai, ek al komme beide as bestannen dy’t opinoar lykje.

De kar tusken de modi komt del op twa fragen. Moat mear as ien apparaat ûnôfhinklik ferbine, en hat de útrulling weromropping per apparaat nedich? In nee op beide hâldt de modus mei statyske kaai libbensfetber; in ja op ien fan beide wiist nei TLS. Der is gjin tredde opsje wêryn’t in twadde kliïnt sûnder eigen identiteit talitten wurdt.

De tsjinner foar meardere kliïnten bouwe

In tsjinner foar meardere kliïnten hat de TLS-modus, in sertifikaat oan ’e tsjinnerkant en in identiteit per kliïnt nedich. De tsjinnerhelperset set de adrespoule en de modus foar meardere kliïnten op, mar leveret net de TLS-konfiguraasje, it fertrouwensanker of de kliïntsertifikaten dy’t talitting betsjuttingsfol meitsje.

Registrearje elk apparaat fia de besteande sertifikaatynstânsje ynstee fan de oanmeldgegevens fan ien kliïnt te kopiearjen. Ferskillende identiteiten meitsje weromropping, rûtes per kliïnt en brûkbere logboeken mooglik, en ien dield kliïntsertifikaat lit alle trije ynstoarte.

As de útrulling brûkers fia in eksterne map of in twadde faktor autentisearret, bliuwt dat ûntwerp sa’t it is. Oerstappe nei TLS-tsjinnermodus beslút hoe’t pearen har op ’e tunnel-laach bewize, en it skriuwt de akkount-backend net foar. Hâld de twa beslissingen apart, sadat in feroaring yn ’e iene de oare net stilwei feroaret.

Beslúd dan bewust it trochstjoerbelied. client-to-client skeakelet ferkear tusken kliïnten yn ’e tsjinnerpaad yn ’e brûkersromte yn, wat in protte útrullings wolle en guon net hawwe meie. It is in beliedsskeakel, gjin identiteitsmeganisme, en it moat oanset wurde om’t it ûntwerp it easket, net om’t in hânlieding it opnaam.

Kontrolearje dat kliïnten echt ûnôfhinklik binne

Ferbyn twa kliïnten en befêstigje dat se ferskillende adressen krije en mei ferskillende identiteiten yn it logboek fan ’e tsjinner ferskine. Rop dan ien werom en befêstigje dat de oare wurkjen bliuwt, wat de praktyske test is dat identiteiten net dield waarden.

Test de tastiene tsjinst tusken pearen en ien dy’t blokkearre bliuwe moat. Twa slagge oanmeldingen bewize talitting, net isolaasje, en it ferskil is wichtich as de útrulling groepen brûkers skiede moat.

Lês ta beslút de tsjinnermodus út ’e rinnende konfiguraasje ynstee fan út it ûnthâld. In konfiguraasje mei statyske kaai en ekstra opsjes is noch altyd in punt-nei-punt ferbining, en in korrekte TLS-tsjinner is de iennige opstelling wêryn’t ferskate kliïnten echt aparte pearen binne.

As it logboek ien mienskiplike namme foar elk apparaat sjen lit, is de modus net it probleem. It registraasjeproses is it.