Statyske kaai of TLS foar in OpenVPN-keppeling tusken twa peers?

Twa masines dy’t allinnich mei elkoar prate, kinne dy topology hâlde en dochs ûnderhannele ferkearskaaien krije. De foarm fan it netwurk en de beskermingsmodus binne ûnôfhinklike karren, en it trochelkoar heljen fan dy twa is wat minsken besykje lit in statysk geheim te rotearjen troch in bestân te ferfangen wylst beide daemons trochrinne. It ferfangen fan it kaaibestân ûnder in rinnend pear rotearret neat. De statyske-kaaimodus, dy’t OpenVPN 2.6 as ferâldere markearret, hâldt ien kaai foar de hiele libbensdoer fan de tunnel, dat it bestân op skiif en de kaai yn it ûnthâld komme pas wer oerien nei’t beide einen opnij start binne. As automatyske fernijing de eask is, moat de beskermingsmodus feroarje.

Wat de statyske-kaaimodus net kin

Yn de geheimmoadus diele beide peers in foarôf dielde kaai dy’t de tunnel direkt fersiferet en autentisearret. Der is gjin hânjaan, dat der is gjin meganisme foar in kant om nij kaaistof foar te stellen, in identiteit te bewizen of fan in ôfwiking te herstellen sûnder yngripen fan de operator. Beide eigenskippen komme út it ûntbrekken fan in stjoerkanaal, net út in ûntbrekkende opsje, en gjin konfiguraasjeflagge foeget der ien oan dizze modus ta.

De OpenVPN 2.6-hânlieding is dúdlik dat de kaai bliuwt oant in nije generearre wurdt. Dat is akseptabel foar in laboratoariumkeppeling of in fêst pear apparaten mei in dokumintearre rotaasjeproseduere, en it is net akseptabel wêr’t in langlibjend geheim in echt risiko is. In bestânferfanging makket gjin nije kaai foar in rinnend pear; it makket twa peers dy’t it net iens binne. It ferfangen fan it bestân foeget dêrom in ûnderbrekking ta sûnder rotaasje ta te foegjen.

Der is ek gjin begryp fan peer-identiteit bûten it besit fan it bestân. Elkenien dy’t de kaai hat is in peer, en neat yn de tunnel leit fêst hokker kant hokker is, dat yntrekken is alles of neat.

Oerstappe nei TLS sûnder de keppeling opnij te ûntwerpen

TLS-modus foeget in stjoerkanaal ta, en dêrmei de mooglikheid om kaaien fan it datakanaal te ûnderhanneljen. Yn in punt-nei-punt-ynset nimt de iene kant de serverrol en de oare de kliïntrol, mar de topology bliuwt in keppeling tusken twa peers: elke kant kent it einpunt fan de oare, en der ferskynt gjin pool of multybrûkers-tsjinst. De rollen binne in detail fan it hânjaan, net in nije arsjitektuer.

Jou elke masine syn eigen identiteit. Elke kant hat in sertifikaat en in priveekaai nedich, it fertrouwensanker dat de oare falidearret, en in peer-ferifikaasjeregel dy’t neamt wa’t ferwachte wurdt. Brûk de priveekaai fan de iene peer net op ’e oare om tiid te sparjen; dat makket twa identiteiten ien en hellet de mooglikheid wei om elke kant apart yn te trekken. Ynskriuwing is it plak om dit goed te dwaan, want it letter reparearje betsjut sertifikaten opnij útjaan.

Hâld it netwurkferdrach ûnferoare wylst de beskerming feroaret. Deselde tunneladressen, rûtes en tastiene tsjinsten moatte foar en nei jilde, dat in flater by de migraasje in beskermingsprobleem is en gjin ferklaaide ferrassing yn it rûtsjen. Skriuw de adressen en rûtes foar de feroaring op; se dêrnei fergelykje is flugger as se út it ûnthâld wer opbouwe.

Guon ynsetten beskermje ek it stjoerkanaal mei syn eigen statyske kaai, dy’t net mei it datakanaal rotearret. Dy kaai bewekket it hânjaan en net de lading, dat in kompromis derfan leit de ûnderhanneling bleat en net it ferkear. Bewarje it apart fan it datakanaalmateriaal, en jou it in ferfangingsdatum dy’t in neamde persoan besit. It rotearjen betsjut beide peers opnij starte yn in koördinearre finster, dêrom fertsjinnet it in kalenderrigel en net in oantinken.

Wa fernijt wat, en wannear

Yn TLS-modus wurdt fernijing stjoerd troch konfigurearre grinzen: in tiidinterval, in bytetal of in pakkettetal. De dokumintearre tiidkontrôle is wêr’t de measte ynsetten op fertrouwe, en de legere effektive wearde oer de twa peers kin de ferfanging begjinne, dat it allinnich oan ien kant ferheegjen hâldt it barren net tsjin. Grinzen op folume besteane om’t in drokke keppeling in kaai lang foar de klok útputte kin. Gjin fan beide grinzen is in sûnenscheck en gjin fan beide fertelt jo dat in fernijing slagge is.

Dêrom is it misliedend om in weromkommende opnij ûnderhanneling út ien konfiguraasjebestân te diagnostearjen. Lês de ynstellingen op beide peers en sjoch dan nei de oergong yn it logboek ynstee fan in flater oan te nimmen. In fernijing dy’t skjin foltôge wurdt liket op in koarte útbarsting fan stjoerkanaalferkear, net op in ôfbrekking.

Hâld de objekten apart yn jo holle. It sertifikaat bewistoet identiteit op lange termyn en wurdt ferfongen neffens in skema dat jo beheare. De kaai fan it datakanaal wurdt automatysk fernije, en in aparte autentikaasje-útwikseling, as de ynset dy freget, folget it accountbelied en kin syn eigen ôfspraken nedich hawwe foar lettere útwikselings.

Fernijing hielendal útskeakelje, troch it interval op nul te setten, is gjin oplossing foar in lawaaierich logboek. It feroaret in sûn libbenssyklusbarren yn in permaninte kaai, wat jo werombringt by de eigenskip dy’t jo besochten efter te litten.

De feroaring akseptearje

Bou de nije konfiguraasje út it stipe foarbyld fan de ynstallearre ferzje, net út in âld minimaal stikje wêrfan’t de algoritmen en bestânspaden earne oars wei komme. Koördinearje de omskeakeling dat beide peers tegearre feroarje, en hâld in goedkarde herstelpaad by gefal dat ien kant net omheech komt. Bring de keppeling mei opset del ynstee fan op in ûnderbrekking te wachtsjen om de weromdraai te testen. In weromdraai dy’t jo oefene hawwe is mear wurdich as ien dy’t jo beskreaun hawwe.

Test trije dingen: de earste identiteitsferifikaasje slagget, de bedoelde applikaasjestream wurket, en in kontrolearre fernijing bart sûnder ferkear te ferliezen. Lês dan de oergong yn it logboek foar wat it echt bewistoet: in nije kaaidentifikaasje betsjut dat de peers in ferfanging foltôge hawwe, net dat de tunnel wer ferbûn is. Behannelje it as bewiis fan ien stap, en kontrolearje de ferkearstellers foar’t jo de migraasje klear neame.

Wat in belofte fan gjin ûnderbrekking ferbergje soe, is de flater dy’t jo noch net sjoen hawwe. In fernijing dy’t mislearret, in sertifikaat dat ferrint of in paadflater kinne de keppeling noch altyd fersteure, en gjin fan allegear wurdt útsletten troch in skjinne testrin. De eigenskip dêr’t it wurdich is foar te ûntwerpen is smeller en nuttiger: gewoane kaaiferfanging hâldt op in hânmjittige bestânferfanging te wêzen.