Ien VPN-account oer twa servers: trije steatsboeken

Ien account dy’t by ien fan twa VPN-nodes oanmelde kin, smyt in ûntwerpfraach op lang foardat it in softwarefraach is. De accountwerjefte, it netwurk dat elke node besit, en de sesje dy’t in ferbûn klant hâldt, binne trije ferskillende soarten steat, en se mislearje op ferskillende manieren as jo se roundkopiearje. Alle trije yn ien systeem kopiearje is in gewoane manier om ien fan har te ferliezen.

Wurket de trije boeken hjirûnder op folchoarder troch. Elk freget wat autoritatyf is, wat lokaal is, en wat der bart as de oare node der net is, en de antwurden folgje net út elkoar.

Wa’t ferbine mei: ien autoriteit, in soad nodes

Begjin mei it tagongsboek: hokker identiteitsboarne autoritatyf is, hokker sertifikaatútjouwers fertroud wurde, hokker accounts yn oanmerking komme, hokker twadde faktor jildt, en wat elk account berikke kin. Skriuw dan op hoe’t elke node fan feroarings leart, en hoe fluch.

In dielde databank is ien mooglik ûnderdiel fan dat antwurd. It is gjin bewiis dat elk relevant belied dêr wennet, of dat elke node in feroaring op itselde momint tapast. In account dat by node A útskeakele is mar by node B noch akseptearre wurdt, betsjut dat it ôfskiedingsproses net klear is.

Beslút wat in node docht as de autoriteit net berikber is. Kashaalde oanmeldgegevens by in steuring akseptearje is in beliedskeuze mei in feilichheidskoste, en se ôfwize is in beliedskeuze mei in beskikberheidskoste. Beide binne ferdigenber; it ûndokumintearre litte is dat net.

Hâld de autoriteit fan de útjouwer apart fan accountgegevens. Ferskate poarten kinne deselde CA fertrouwe sûnder de ûndertekeningskaai te hâlden, en elke node hat noch altyd syn eigen server-sertifikaat en syn eigen fertrouwensrelaasje oan klantzijde nedich.

Wat in node hat: adressen en rûtes

It twadde boek is lokaal foar elke node: harkadres, serveridentiteit, adrespoel, rûtes nei privee-boarnen, oplosserbelied, en hoe’t ferkear nei it ynternet fuortgiet. Deselde account kin troch ien fan beide nodes betsjinne wurde wylst dizze objekten apart bliuwe.

De weromrûte is it diel dat fergetten wurdt. As beide nodes adressen út deselde poel útjaan, kin it privee-netwurk net sizze hokker node in beskate klant hat, en it antwurd kin nei it ferkearde plak stjoerd wurde. Ferskillende poelen hawwe ek rûtes en tastimmingen nedich, dus in apart nûmerberik is gjin folslein ûntwerp.

Rjochtsje klanten mei opsetsin op ien node. DNS-kar, listes fan klant-einpunten en in front-end-tsjinst binne ferskillende meganismen mei ferskillend gedrach foar sûnens en omskeakeling. Ien kieze is goed; “belêsting-balansearjen” as it ûntwerp behannelje lit de weromrûte en it flatergedrach ûndefiniearre.

In dokumintearre produktfoarbyld helpt hjir. De replikaasjedokumintaasje fan Pritunl behannelet it VPN-netwurk as in objekt per replika, en klanten op ferskillende replika’s hawwe ekstra rûtes en ferbining nedich om elkoar te berikken. Dat is in produktspesifike regeling, gjin resept foar Community OpenVPN, mar it lit sjen wêrom’t it tafoegjen fan in replika it netwurk feroaret en net allinnich it account-argyf.

Wat in sesje is: libbene steat, gjin rige

It tredde boek is de libbene sesje. In ferbûn klant hat protokolsteat en in netwurkopdracht op ’e node dy’t him akseptearre hat. Dat de account op ’e oare node bekend is, jout dy node de sesje, de kaaien of it fermogen om de pakketten troch te setten net.

Wês dúdlik oer wat der bart as in node útfeit. It stipe resultaat kin in werferbining mei de oare node wêze mei nije autentikaasje en in nij adres, wêrnei’t de applikaasje op syn eigen wize weromkomt. As ûnûnderbrutsen oerdracht fereaske is, hat dy eask eksplisite stipe yn ’e ymplemintaasje nedich, gjin konklúzje út databankreplikaasje. Skriuw it antwurd op dêr’t de tsjinstingenieur it fine kin.

Kapasiteitsregels hawwe deselde behanneling nedich. In limyt fan twa tagelyk sesjes per account kin allinnich oer nodes hanthavene wurde as in autoriteit in koördinearre byld fan besette plakken hat. Node-lokale listen en in histoarysk accountrecords telle net op ta dat byld.

De trije boeken besykje

Oefenje elk apart. Meld jo oan fia node A, dan fia node B, en befêstigje dat beide slagje mei de ferwachte adresberikken. Lûk in identiteit werom en kontrolearje beide nodes, net allinnich dy’t jo tafallich testen. Stopje dan ien node en observearje wat de klant en de privee-applikaasje eins dogge.

Nim de weromrûte op yn ’e akseptaasjetest. In klant dy’t oan B ferbynt mar gjin antwurden fan in boarne efter A ûntfange kin, is troch de tagongskontrôle kaam en hat de netwurkien misse, en dat ferskil moat yn it rapport ferskine.

Pas as alle trije boeken in eksplisite eigner, in feroaringspaad en in flatergedrach hawwe, is it accountûntwerp foar meardere nodes folslein. In konfiguraasjebestân oer nodes kopiearje beantwurdet gjin ien fan dy fragen.