Apakah setiap peer OpenVPN perlu baris remote? Tidak juga

Dua konfigurasi peer dibandingkan berdampingan, yang satu memiliki baris remote dan yang lain tidak, dan kesimpulannya adalah salah satunya rusak. Kesimpulan itu cukup sering keliru sehingga layak diurai. Direktif ini menjelaskan ke mana paket pertama harus dikirim. Ia tidak memilih apakah proses bertindak sebagai klien yang memulai atau sebagai gerbang yang menunggu, dan ia tidak memutuskan sisi mana yang membuktikan identitasnya kepada sisi lain.

Apa yang sebenarnya ditentukan remote

Entri remote menyebutkan sebuah host, opsional sebuah port dan transport, dan opsional beberapa entri semacam itu untuk dicoba secara berurutan.

Ketidakhadirannya memiliki makna yang pasti, bukan tak tentu: proses menunggu dan tidak menindaklanjuti paket dari suatu alamat kecuali peer tersebut melakukan autentikasi. Karena itu gerbang yang melayani pengguna berpindah tidak punya alasan menyebutkan salah satu dari mereka sebelumnya.

Baca entri itu sebagai hubungan alamat. Apakah ujung jauh dipercaya dijawab oleh sertifikat dan opsi verifikasi, bukan oleh fakta bahwa sebuah alamat dituliskan.

Tiga susunan menentukan jawabannya

Klien berpindah memerlukan tujuan, karena ia harus memulai dan tanpa itu ia tidak tahu di mana gerbangnya. Gerbang banyak klien tidak memerlukan tujuan per pengguna, karena klien datang dan melakukan autentikasi. Tautan dua peer yang disengaja dengan titik ujung yang diketahui dapat memiliki tujuan di satu sisi, kedua sisi, atau tidak sama sekali, tergantung sisi mana yang memulai.

Menempelkan alamat klien tetap ke gerbang umum adalah kesalahan yang timbul dari mengabaikan kategori tersebut. Itu berhasil untuk satu peer yang alamatnya dicatat dan menyesatkan semua pihak lain.

Tidak ada apa pun dalam direktif yang mengubah konfigurasi menjadi server banyak klien, dan tidak ada apa pun dalam kehadirannya yang menghalangi peran server. Referensi OpenVPN 2.6 mendokumentasikan argumen opsional dan perilaku tanpa remote secara terpisah, yang merupakan petunjuk tentang seberapa mandiri keduanya.

Peran transport adalah sumbu lain

Pada TCP, satu sisi menunggu dan sisi lain menelepon. Itu adalah direktif terpisah dari tujuan, dan mencampurnya menghasilkan pasangan yang keduanya menunggu atau keduanya menelepon.

Ada juga peran penyaring sumber TCP, karena itulah pernyataan datar bahwa server tidak boleh pernah memuat remote itu keliru.

Pada UDP tidak ada koneksi untuk dibangun, jadi kedua ujung memakai transport UDP yang sesuai dan direktif hanya mengatakan ke mana membidik. Perubahan alamat oleh peer yang terautentikasi ditangani oleh perilaku khusus, bukan dengan menambahkan lebih banyak entri. Transport yang benar adalah prasyarat agar tujuan berarti sesuatu, dan mencampur keduanya menghasilkan konfigurasi yang tampak masuk akal dan tidak pernah menyelesaikan jabat tangan.

Mengapa remote yang tidak ada bukan pintu terbuka

Proses tanpa tujuan tetap menolak lalu lintas dari peer yang tidak melakukan autentikasi, dan itulah bagian yang terlewat ketika orang membaca baris yang tidak ada sebagai pendengar yang terbuka bagi siapa saja.

Autentikasi dan tujuan bersifat mandiri, dan yang pertama adalah yang penting bagi kepercayaan.

Kesalahan sebaliknya lebih berbahaya. Alamat sumber tetap bisa terasa seperti kendali akses karena ia spesifik dan mudah diperiksa, tetapi ia tidak membuktikan apa pun tentang siapa yang ada di ujung lain. Pertahankan verifikasi sertifikat, dan pertahankan pemeriksaan identitas yang mengikat sertifikat ke perannya. Menggantinya dengan pencocokan alamat menukar kendali nyata dengan penampakannya.

Tuliskan apa yang diasumsikan konfigurasi

Untuk setiap sisi, catat tiga hal: bagaimana paket pertama mencapai peer, sisi mana yang dapat menerima transport, dan apa yang diperiksa setiap sisi tentang sisi lain.

Asumsi-asumsi itu adalah rancangannya. Direktif hanyalah ejaannya.

Jika kedua berkas berbeda, periksa apakah keduanya mengungkapkan asumsi yang berbeda alih-alih menganggap salah satunya keliru. Pasangan berkas yang simetris tidak perlu dan tidak cukup untuk terowongan yang berfungsi, dan asimetri sering kali merupakan bagian yang membuat topologi berfungsi.