Ստատիկ բանալի՞, թե՞ TLS՝ երկու հանգույցների միջև OpenVPN կապի համար։

Երկու մեքենա, որոնք խոսում են միայն միմյանց հետ, կարող են պահպանել այդ տոպոլոգիան և միևնույն ժամանակ ստանալ բանակցված երթևեկության բանալիներ։ Ցանցի ձևը և պաշտպանության ռեժիմը անկախ ընտրություններ են, և հենց դրանք խառնելն է ստիպում մարդկանց փորձել պտտել ստատիկ գաղտնիքը՝ փոխարինելով ֆայլը, մինչ երկու դեմոններն էլ շարունակում են աշխատել։ Աշխատող զույգի տակ բանալու ֆայլը փոխարինելը ոչինչ չի պտտում։ Ստատիկ բանալու ռեժիմը, որը OpenVPN 2.6-ը նշում է որպես հնացած, մեկ բանալի է պահում թունելի ողջ կյանքի ընթացքում, ուստի սկավառակի ֆայլը և հիշողության մեջ եղած բանալին նորից համընկնում են միայն երկու ծայրերի վերագործարկումից հետո։ Եթե ավտոմատ նորացումն է պահանջը, պաշտպանության ռեժիմը պետք է փոխվի։

Ինչ չի կարող ստատիկ բանալու ռեժիմը

Գաղտնի ռեժիմում երկու հանգույցները կիսում են նախապես համատեղ բանալի, որը ուղղակիորեն գաղտնագրում և նույնականացնում է թունելը։ Ձեռնասեղմում չկա, ուստի ոչ մի կողմ չունի մեխանիզմ նոր բանալի նյութ առաջարկելու, ինքնությունը ապացուցելու կամ օպերատորի միջամտությամբ չպահանջվող անհամապատասխանությունից դուրս գալու համար։ Երկու հատկություններն էլ բխում են կառավարման ալիքի բացակայությունից, այլ ոչ թե բացակայող տարբերակից, և ոչ մի կարգավորման դրոշ այդպիսին չի ավելացնում այս ռեժիմին։

OpenVPN 2.6 ձեռնարկը հստակ ասում է, որ բանալին մնում է այնքան ժամանակ, քանի դեռ նորը չի ստեղծվել։ Դա ընդունելի է լաբորատոր կապի կամ փաստաթղթավորված պտտման ընթացակարգով ֆիքսված սարքերի զույգի համար, և անընդունելի է այնտեղ, որտեղ երկարաժամկետ գաղտնիքը իրական ռիսկ է։ Ֆայլի փոխարինումը նոր բանալի չի ստեղծում աշխատող զույգի համար. այն ստեղծում է երկու հանգույց, որոնք չեն համաձայնում։ Ուստի ֆայլը փոխարինելը ավելացնում է ընդհատում՝ առանց պտտում ավելացնելու։

Ֆայլին տիրապետելուց բացի հանգույցի ինքնության գաղափար էլ չկա։ Ով բանալին ունի, հանգույց է, և թունելում ոչինչ չի գրանցում, թե որ կողմն որն է, ուստի չեղարկումը կամ ամեն ինչ է, կամ ոչինչ։

Անցում TLS-ի՝ առանց կապը վերանախագծելու

TLS ռեժիմը ավելացնում է կառավարման ալիք, և դրա հետ՝ տվյալների ալիքի բանալիների շուրջ բանակցելու հնարավորություն։ Կետ-կետ տեղակայման մեջ մի կողմը ստանձնում է սերվերի դերը, մյուսը՝ հաճախորդի, բայց տոպոլոգիան մնում է երկու հանգույցների կապ. յուրաքանչյուր կողմ գիտի մյուսի վերջնակետը, և ոչ մի լողավազան կամ բազմաօգտվող ծառայություն չի հայտնվում։ Դերերը ձեռնասեղմման մանրուք են, ոչ նոր ճարտարապետություն։

Տվեք յուրաքանչյուր մեքենայի իր ինքնությունը։ Յուրաքանչյուր կողմի պետք է վկայական և մասնավոր բանալի, մյուսին վավերացնող վստահության խարիսխ, և հանգույցի ստուգման կանոն, որը նշում է, թե ում են սպասում։ Ժամանակ խնայելու համար մի օգտագործեք մի կողմի մասնավոր բանալին մյուսի վրա. դա երկու ինքնություն դարձնում է մեկ և վերացնում է կողմերից յուրաքանչյուրն առանձին չեղարկելու հնարավորությունը։ Գրանցումը այն տեղն է, որտեղ դա պետք է ճիշտ արվի, որովհետև ավելի ուշ ուղղելը նշանակում է վկայականների վերաթողարկում։

Պահեք ցանցային պայմանագիրը անփոփոխ, մինչ պաշտպանությունը փոխվում է։ Նույն թունելի հասցեները, երթուղիները և թույլատրված ծառայությունները պետք է գործեն առաջ և հետո, որպեսզի միգրացիայի ընթացքում խափանումը պաշտպանության խնդիր լինի, այլ ոչ թե քողարկված երթուղավորման անակնկալ։ Փոփոխությունից առաջ գրեք հասցեներն ու երթուղիները. հետո դրանք համեմատելն ավելի արագ է, քան հիշողությունից վերակառուցելը։

Որոշ տեղակայումներ կառավարման ալիքը նույնպես պաշտպանում են իրենց սեփական ստատիկ բանալիով, որը չի պտտվում տվյալների ալիքի հետ։ Այդ բանալին պահպանում է ձեռնասեղմումը, ոչ թե բեռը, ուստի դրա փոխզիջումը բացահայտում է բանակցությունը, ոչ թե երթևեկությունը։ Պահեք այն առանձին տվյալների ալիքի նյութից և նշանակեք փոխարինման ամսաթիվ, որի պատասխանատուն անվանված անձ է։ Այն պտտելը նշանակում է երկու հանգույցների վերագործարկում համաձայնեցված պատուհանում, այդ պատճառով այն արժանի է օրացուցային գրառման, ոչ թե հիշողության։

Ով ինչ է նորացնում, և երբ

TLS ռեժիմում նորացումը ղեկավարվում է կարգավորված սահմաններով՝ ժամանակային միջակայք, բայթերի քանակ կամ փաթեթների քանակ։ Փաստաթղթավորված ժամանակային վերահսկումն այն է, ինչի վրա հենվում են տեղակայումների մեծ մասը, և երկու հանգույցների միջև ավելի ցածր արդյունավետ արժեքը կարող է սկսել փոխարինումը, ուստի միայն մի կողմում այն բարձրացնելը չի զսպի իրադարձությունը։ Ծավալային սահմանները գոյություն ունեն, որովհետև զբաղված կապը կարող է սպառել բանալին շատ ավելի վաղ, քան ժամացույցը։ Սահմաններից ոչ մեկը վիճակի ստուգում չէ, և ոչ մեկը ձեզ չի ասում, որ նորացումը հաջողվել է։

Այդ պատճառով կրկնվող վերաբանակցությունը մեկ կարգավորման ֆայլից ախտորոշելը մոլորեցնող է։ Կարդացեք կարգավորումները երկու հանգույցներում, ապա նայեք մատյանի անցմանը՝ խափանում ենթադրելու փոխարեն։ Մաքուր ավարտվող նորացումը նման է կառավարման ալիքի երթևեկության կարճ պոռթկումի, ոչ թե անջատման։

Պահեք առարկաները առանձին ձեր գլխում։ Վկայականն ապացուցում է երկարաժամկետ ինքնությունը և փոխարինվում է ձեր վերահսկած ժամանակացույցով։ Տվյալների ալիքի բանալին ինքնաբերաբար թարմացվում է, և առանձին նույնականացման փոխանակումը, եթե տեղակայումը պահանջում է այն, հետևում է հաշվի քաղաքականությանը և կարող է ունենալ իր սեփական պայմանավորվածությունները հետագա փոխանակումների համար։

Նորացումն ամբողջությամբ անջատելը՝ միջակայքը զրոյի դնելով, աղմկոտ մատյանի լուծում չէ։ Այն առողջ կենսացիկլի իրադարձությունը դարձնում է մշտական բանալի, ինչը ձեզ վերադարձնում է այն հատկությանը, որը փորձում էիք թողնել ետևում։

Փոփոխության ընդունումը

Կառուցեք նոր կարգավորումը տեղադրված թողարկման աջակցվող օրինակից, այլ ոչ թե հին նվազագույն հատվածից, որի ալգորիթմներն ու ֆայլերի ուղիները ժառանգվել են այլ տեղից։ Համաձայնեցրեք անցումն այնպես, որ երկու հանգույցները փոխվեն միասին, և պահեք հաստատված վերականգնման ուղի, եթե մի կողմը չբարձրանա։ Իջեցրեք կապը դիտավորյալ՝ ընդհատման սպասելու փոխարեն հետադարձը ստուգելու համար։ Փորձված հետադարձն ավելի արժեքավոր է, քան նկարագրվածը։

Ստուգեք երեք բան՝ նախնական ինքնության վավերացումը հաջողվում է, նախատեսված հավելվածի հոսքը աշխատում է, և վերահսկվող նորացումը տեղի է ունենում առանց երթևեկություն կորցնելու։ Այնուհետև կարդացեք մատյանի անցումը՝ ինչի համար այն իրականում ապացույց է. նոր բանալու նույնացուցիչը նշանակում է, որ հանգույցները ավարտել են փոխարինումը, ոչ թե որ թունելը նորից միացել է։ Դիտարկեք դա որպես մեկ քայլի ապացույց և ստուգեք երթևեկության հաշվիչները նախքան միգրացիան ավարտված հայտարարելը։

Ինչ կթաքցներ զրո ընդհատումների խոստումը՝ այն խափանումը, որը դեռ չեք տեսել։ Ձախողված նորացումը, ժամկետանց վկայականը կամ ուղու անսարքությունը դեռ կարող են խանգարել կապին, և դրանցից ոչ մեկը չի բացառվում մաքուր փորձարկումով։ Այն հատկությունը, որի համար արժե նախագծել, ավելի նեղ և ավելի օգտակար է. սովորական բանալիների փոխարինումը դադարում է ձեռքով ֆայլ փոխել լինելուց։