Kiszolgálhat több klienst egy statikus kulcsos OpenVPN-kapcsolat?

A statikus kulcsos mód pontosan két egyenrangú felet kapcsol össze, és ez a terve, nem olyan korlát, amelyet valaki elfelejtett feloldani. A client-to-client kiszolgálómódú továbbítási opció, ezért hozzáadása egy --secret konfigurációhoz semmit nem változtat azon, hány kliens csatlakozhat. A döntés nem az, melyik kapcsolót adjuk hozzá, hanem hogy a telepítésnek pont-pont kapcsolatra vagy többklienses szolgáltatásra van-e szüksége. Ha több eszköznek kell önállóan csatlakoznia, a védelmi mód megváltozik, és minden eszköz identitást kap.

Két fél, egy kulcs és kliensenként semmilyen állapot: ez a forma a mód teljes története.

Mire való a statikus kulcsos mód

Titkos módban mindkét fél egyetlen kulcsfájlt oszt meg, és ez a kulcs közvetlenül védi a forgalmat. Nincs kézfogás, nincs tanúsítványcsere és nincs kliensenkénti munkamenet, mert kiszolgálói értelemben nincsenek kliensek, csak két végpont.

A mód továbbra is hasznos egy rögzített géppár számára dokumentált kulcsrotációs folyamattal, és az OpenVPN 2.6 éppen azért jelöli elavultnak, mert a TLS-mód jobb tulajdonságokkal fedi le ezeket az eseteket. Amit nem tud, az az, hogy megkülönböztessen egy csatlakozó eszközt egy másiktól, mivel a fájl birtoklása a teljes hitelesítési történet. Egy harmadik eszköz hozzáadása azt jelenti, hogy ugyanazt a kulcsot osztjuk meg vele, ami után az első kettő már nem tudja megkülönböztetni önmaguktól.

Ezért a két félre vonatkozó korlát szerkezeti, és nem módosítható beállítás.

Miért nem a client-to-client a hiányzó darab

A client-to-client azt szabályozza, hogy a csatlakozott kliensek cserélhetnek-e forgalmat a kiszolgálón keresztül. Nem enged be klienseket, nem rendel identitásokat, és nem hoz létre nem konfigurált kiszolgálómódot, statikus kulcsos konfigurációban pedig nincs klienslista, amelyet irányíthatna.

A másik gyakori zavar a tls-crypt vagy tls-auth anyagát érinti. Egy TLS-kiszolgáló megoszthatja az egyik ilyen kulcsot az összes kliens között, mert a vezérlőcsatornát védi ahelyett, hogy azt bizonyítaná, ki melyik kliens. A TLS-módban megosztott vezérlőcsatorna-kulcs más objektum, mint egy megosztott statikus adatkulcs, még ha mindkettő hasonlóan kinéző fájlként érkezik is.

A módok közötti választás két kérdésre redukálódik. Egynél több eszköznek kell önállóan csatlakoznia, és szüksége van-e a telepítésnek eszközönkénti visszavonásra? Mindkettőre nem esetén a statikus kulcsos mód életképes marad; bármelyikre igen esetén a TLS felé mutat. Nincs harmadik lehetőség, ahol egy második klienst saját identitás nélkül fogadnának be.

A többklienses kiszolgáló felépítése

A többklienses kiszolgálóhoz TLS-mód, kiszolgálóoldali tanúsítvány és kliensenkénti identitás szükséges. A kiszolgálósegéd beállítja a címkészletet és a többklienses módot, de nem szolgáltatja a TLS-konfigurációt, a bizalmi horgonyt vagy azokat az ügyféltanúsítványokat, amelyek értelmessé teszik a belépést.

Minden eszközt a meglévő tanúsító hatóságon keresztül regisztráljon, ne egy kliens hitelesítő adatainak másolásával. A különálló identitások teszik lehetővé a visszavonást, a kliensenkénti útválasztást és a hasznos naplókat, és egyetlen megosztott ügyféltanúsítvány mindhármat összeomlasztja.

Ha a telepítés külső könyvtáron vagy második tényezőn keresztül hitelesíti a felhasználókat, az a terv úgy marad, ahogy van. A TLS-kiszolgálómódra váltás eldönti, hogyan bizonyítják magukat a felek az alagút rétegén, és nem írja elő a fiók-háttérrendszert. Tartsa külön a két döntést, hogy az egyik változása ne módosítsa csendesen a másikat.

Ezután tudatosan döntse el a továbbítási házirendet. A client-to-client engedélyezi a kliensek közötti forgalmat a felhasználói tér kiszolgálóútvonalán, amit sok telepítés szeretne, és néhánynak nem szabad engednie. Ez házirend-kapcsoló, nem identitásmechanizmus, és azért kell bekapcsolni, mert a terv megköveteli, nem azért, mert egy útmutató tartalmazta.

Annak ellenőrzése, hogy a kliensek valóban függetlenek

Csatlakoztasson két klienst, és erősítse meg, hogy különböző címeket kapnak, és különböző identitásokkal jelennek meg a kiszolgáló naplójában. Ezután vonja vissza az egyiket, és erősítse meg, hogy a másik tovább működik, ami gyakorlati próbája annak, hogy az identitásokat nem osztották meg.

Tesztelje az engedélyezett pont-pont szolgáltatást és egy olyat, amelynek blokkolva kell maradnia. Két sikeres bejelentkezés a belépést bizonyítja, nem az elkülönítést, és a különbség számít, amikor a telepítésnek szét kell választania felhasználói csoportokat.

Végül olvassa ki a kiszolgálómódot a futó konfigurációból, ne az emlékezetéből. A statikus kulcsos konfiguráció további opciókkal még mindig pont-pont kapcsolat, és a helyes TLS-kiszolgáló az egyetlen olyan elrendezés, amelyben több kliens valóban különálló fél.

Ha a napló minden eszköznél egyetlen közös nevet mutat, a probléma nem a mód. A probléma a regisztrációs folyamat.