બે પિયર વચ્ચેની OpenVPN લિંક માટે સ્થિર કી કે TLS?

ફક્ત એકબીજા સાથે વાત કરતા બે મશીન તે ટોપોલોજી રાખીને પણ વાટાઘાટ કરેલી ટ્રાફિક કી મેળવી શકે છે. નેટવર્કનો આકાર અને સંરક્ષણ મોડ સ્વતંત્ર પસંદગીઓ છે, અને આ બંનેને ભેગા કરવાથી જ લોકો બંને ડિમન ચાલુ રહેતાં ફાઇલ બદલીને સ્થિર રહસ્ય ફેરવવાનો પ્રયાસ કરે છે. ચાલુ જોડી હેઠળ કી ફાઇલ બદલવાથી કંઈ ફરતું નથી. સ્થિર-કી મોડ, જેને OpenVPN 2.6 અપ્રચલિત તરીકે ચિહ્નિત કરે છે, ટનલના આખા જીવનકાળ દરમિયાન એક જ કી રાખે છે, તેથી ડિસ્ક પરની ફાઇલ અને મેમરીમાંની કી ફક્ત બંને છેડા ફરી શરૂ થયા પછી જ ફરી મળે છે. જો સ્વચાલિત નવીકરણ જરૂરી હોય, તો સંરક્ષણ મોડ બદલવો પડશે.

સ્થિર-કી મોડ શું કરી શકતો નથી

ગુપ્ત મોડમાં, બંને પિયર પહેલેથી શેર કરેલી કી વહેંચે છે જે ટનલને સીધી રીતે એન્ક્રિપ્ટ અને પ્રમાણિત કરે છે. કોઈ હેન્ડશેક નથી, તેથી કોઈપણ બાજુ માટે નવી કી સામગ્રી સૂચવવા, ઓળખ સાબિત કરવા કે ઓપરેટરની દખલ વિના અસંગતિમાંથી પુનઃપ્રાપ્ત થવા માટે કોઈ મિકેનિઝમ નથી. બંને ગુણધર્મો ખૂટતા વિકલ્પને બદલે નિયંત્રણ ચેનલની ગેરહાજરીમાંથી આવે છે, અને કોઈ કન્ફિગરેશન ફ્લેગ આ મોડમાં એક પણ ઉમેરતો નથી.

OpenVPN 2.6 મેન્યુઅલ સ્પષ્ટ કહે છે કે નવી કી બને ત્યાં સુધી કી ટકે છે. આ લેબ લિંક અથવા દસ્તાવેજીકૃત રોટેશન પ્રક્રિયા ધરાવતી નિશ્ચિત ઉપકરણ જોડી માટે સ્વીકાર્ય છે, અને જ્યાં લાંબા ગાળાનું રહસ્ય વાસ્તવિક જોખમ હોય ત્યાં અસ્વીકાર્ય છે. ફાઇલ બદલવાથી ચાલુ જોડી માટે નવી કી બનતી નથી; તે અસંમત બે પિયર બનાવે છે. તેથી ફાઇલ બદલવાથી રોટેશન ઉમેર્યા વિના વિક્ષેપ ઉમેરાય છે.

ફાઇલ ધરાવવા સિવાય પિયર ઓળખની કોઈ કલ્પના પણ નથી. જેની પાસે કી હોય તે પિયર છે, અને ટનલમાં કંઈ પણ નોંધતું નથી કે કઈ બાજુ કઈ છે, તેથી રદ કરવું એ બધું અથવા કંઈ નહીં છે.

લિંકને પુનઃરચના કર્યા વિના TLS તરફ જવું

TLS મોડ નિયંત્રણ ચેનલ ઉમેરે છે, અને તેની સાથે ડેટા ચેનલની કી વાટાઘાટ કરવાની ક્ષમતા. પોઇન્ટ-ટુ-પોઇન્ટ જમાવટમાં, એક બાજુ સર્વરની ભૂમિકા લે છે અને બીજી ક્લાયન્ટની, પણ ટોપોલોજી બે પિયર વચ્ચેની લિંક જ રહે છે: દરેક બાજુ બીજાનું અંતિમ બિંદુ જાણે છે, અને કોઈ પૂલ કે બહુ-વપરાશકર્તા સેવા દેખાતી નથી. ભૂમિકાઓ હેન્ડશેકની વિગત છે, નવી સ્થાપત્ય નથી.

દરેક મશીનને તેની પોતાની ઓળખ આપો. દરેક બાજુને પ્રમાણપત્ર અને ખાનગી કી, બીજાને માન્ય કરતું વિશ્વાસ-એન્કર, અને કોણ અપેક્ષિત છે તે જણાવતો પિયર-ચકાસણી નિયમ જોઈએ. સમય બચાવવા એક પિયરની ખાનગી કી બીજા પર ફરી વાપરશો નહીં; તે બે ઓળખને એક બનાવે છે અને કોઈપણ બાજુને અલગથી રદ કરવાની ક્ષમતા દૂર કરે છે. નોંધણી એ આ યોગ્ય રીતે કરવાનું સ્થળ છે, કારણ કે પછી સુધારવાનો અર્થ પ્રમાણપત્રો ફરી જારી કરવા.

સંરક્ષણ બદલાય ત્યારે નેટવર્ક કરાર અબદલ રાખો. એ જ ટનલ સરનામાં, રૂટ અને મંજૂર સેવાઓ પહેલાં અને પછી લાગુ થવી જોઈએ, જેથી સ્થળાંતર દરમિયાન નિષ્ફળતા છદ્મ રૂટિંગ આશ્ચર્ય નહીં, પણ સંરક્ષણ સમસ્યા હોય. બદલાવ પહેલાં સરનામાં અને રૂટ લખી લો; પછી તેમની તુલના કરવી સ્મૃતિમાંથી ફરી બનાવવા કરતાં ઝડપી છે.

કેટલીક જમાવટ નિયંત્રણ ચેનલને તેની પોતાની સ્થિર કીથી પણ સુરક્ષિત કરે છે, જે ડેટા ચેનલ સાથે ફરતી નથી. તે કી પેલોડ નહીં, હેન્ડશેકની રક્ષા કરે છે, તેથી તેની ચૂક થવાથી ટ્રાફિક નહીં, વાટાઘાટ ખુલ્લી પડે છે. તેને ડેટા ચેનલની સામગ્રીથી અલગ રાખો, અને એવી બદલી તારીખ આપો જેની માલિકી નામ આપેલી વ્યક્તિ પાસે હોય. તેને ફેરવવાનો અર્થ સંકલિત વિન્ડોમાં બંને પિયર ફરી શરૂ કરવા, તેથી તે સ્મૃતિ કરતાં કેલેન્ડર નોંધને લાયક છે.

કોણ શું નવીકરણ કરે છે, અને ક્યારે

TLS મોડમાં, નવીકરણ કન્ફિગર કરેલી મર્યાદાઓ દ્વારા ચાલે છે: સમય અંતરાલ, બાઇટ ગણતરી અથવા પેકેટ ગણતરી. દસ્તાવેજીકૃત સમય નિયંત્રણ એ છે જેના પર મોટાભાગની જમાવટ આધાર રાખે છે, અને બંને પિયરમાં નીચું અસરકારક મૂલ્ય બદલી શરૂ કરી શકે છે, તેથી ફક્ત એક બાજુ તેને વધારવાથી ઘટના અટકશે નહીં. જથ્થા આધારિત મર્યાદાઓ એટલા માટે છે કે વ્યસ્ત લિંક ઘડિયાળ પહેલાં ઘણી વહેલી કી ખતમ કરી શકે. બંનેમાંથી કોઈ મર્યાદા આરોગ્ય-તપાસ નથી, અને કોઈ તમને કહેતી નથી કે નવીકરણ સફળ થયું.

તેથી એક જ કન્ફિગરેશન ફાઇલમાંથી વારંવાર થતી પુનર્વાટાઘાટનું નિદાન ભ્રામક છે. બંને પિયર પરની સેટિંગ્સ વાંચો, પછી ખામી ધારી લેવાને બદલે લોગમાંનું પરિવર્તન જુઓ. સ્વચ્છ રીતે પૂર્ણ થતું નવીકરણ નિયંત્રણ ચેનલ ટ્રાફિકના ટૂંકા વિસ્ફોટ જેવું લાગે છે, ડિસ્કનેક્શન જેવું નહીં.

વસ્તુઓને તમારા મનમાં અલગ રાખો. પ્રમાણપત્ર લાંબા ગાળાની ઓળખ સાબિત કરે છે અને તમે નિયંત્રિત કરો છો તેવા સમયપત્રક મુજબ બદલાય છે. ડેટા ચેનલની કી આપોઆપ તાજી થાય છે, અને અલગ પ્રમાણીકરણ વિનિમય, જો જમાવટને તેની જરૂર હોય, તો ખાતા નીતિને અનુસરે છે અને પછીના વિનિમયો માટે તેની પોતાની ગોઠવણોની જરૂર પડી શકે છે.

અંતરાલને શૂન્ય પર સેટ કરીને નવીકરણ સંપૂર્ણપણે બંધ કરવું એ ઘોંઘાટિયા લોગ માટે ઉપાય નથી. તે સ્વસ્થ જીવનચક્ર ઘટનાને કાયમી કીમાં ફેરવે છે, જે તમને જે ગુણધર્મ છોડવા માંગતા હતા ત્યાં પાછા લાવે છે.

બદલાવ સ્વીકારવો

નવું કન્ફિગરેશન સ્થાપિત રિલીઝના સમર્થિત ઉદાહરણમાંથી બનાવો, કોઈ બીજી જગ્યાએથી વારસામાં મળેલા અલ્ગોરિધમ અને ફાઇલ પાથ ધરાવતા જૂના ન્યૂનતમ ટુકડામાંથી નહીં. સ્વિચનું સંકલન કરો જેથી બંને પિયર સાથે બદલાય, અને એક બાજુ શરૂ ન થાય તો મંજૂર પુનઃપ્રાપ્તિ માર્ગ રાખો. રોલબેક ચકાસવા માટે વિક્ષેપની રાહ જોવાને બદલે જાણી જોઈને લિંક નીચે ઉતારો. તમે પ્રેક્ટિસ કરેલો રોલબેક વર્ણવેલા રોલબેક કરતાં વધુ મૂલ્યવાન છે.

ત્રણ વસ્તુ ચકાસો: પ્રારંભિક ઓળખ ચકાસણી સફળ થાય, ઇચ્છિત એપ્લિકેશન પ્રવાહ કાર્ય કરે, અને નિયંત્રિત નવીકરણ ટ્રાફિક ગુમાવ્યા વિના થાય. પછી લોગમાંનું પરિવર્તન એ ખરેખર શું સાબિત કરે છે તે માટે વાંચો: નવું કી ઓળખકર્તા એટલે પિયરે બદલી પૂર્ણ કરી, એવું નહીં કે ટનલ ફરી જોડાઈ. તેને એક પગલાના પુરાવા તરીકે લો, અને સ્થળાંતર પૂર્ણ ઘોષિત કરતાં પહેલાં ટ્રાફિક કાઉન્ટર તપાસો.

શૂન્ય-વિક્ષેપનું વચન જે છુપાવશે તે એ નિષ્ફળતા છે જે તમે હજી જોઈ નથી. નિષ્ફળ નવીકરણ, સમાપ્ત થતું પ્રમાણપત્ર કે માર્ગની ખામી હજી લિંકને ખલેલ પહોંચાડી શકે છે, અને સ્વચ્છ પરીક્ષણ દોડમાં તેમાંથી કંઈ પણ બાકાત થતું નથી. જે ગુણધર્મ માટે રચના કરવી યોગ્ય છે તે વધુ સાંકડો અને વધુ ઉપયોગી છે: નિયમિત કી બદલી હાથે ફાઇલ બદલવાનું બંધ થાય છે.