Getur OpenVPN-tenging með kyrrstæðum lykli þjónað nokkrum biðlurum?

Kyrrstæða lyklahamurinn tengir nákvæmlega tvo jafningja, og það er hönnun hans, ekki takmörkun sem einhver gleymdi að aflétta. client-to-client er framsendingarvalkostur í þjónaham, svo að bæta honum við --secret stillingar breytir engu um hversu margir biðlarar geta tengst. Ákvörðunin snýst ekki um hvaða fána á að bæta við, heldur hvort uppsetningin þarf punkt-til-punkt tengingu eða þjónustu fyrir marga biðlara. Ef nokkur tæki þurfa að tengjast sjálfstætt breytist varnarhamurinn og hvert tæki fær auðkenni.

Tveir jafningjar, einn lykill og ekkert ástand fyrir hvern biðlara: það form er öll saga hamsins.

Við hvað kyrrstæða lyklahamurinn er

Í leyndarham deila báðir jafningjar einni lyklaskrá og sá lykill verndar umferðina beint. Engin handaband, engin skipti á vottorðum og engin lota fyrir hvern biðlara, því það eru engir biðlarar í þjónahugsun, aðeins tveir endapunktar.

Hamurinn er áfram gagnlegur fyrir fast tækjapar með skjalfestri lyklaskiptingu, og OpenVPN 2.6 merkir hann sem úreltan einmitt því TLS-hamurinn nær yfir þessi tilfelli með betri eiginleikum. Það sem hann getur ekki er að greina eitt tengjandi tæki frá öðru, þar sem eign lyklaskrárinnar er öll auðkenningarsagan. Að bæta þriðju tæki þýðir að deila sama lykli með því, og eftir það geta fyrstu tvö ekki lengur greint það frá sjálfum sér.

Þess vegna er mörkin við tvo jafningja byggingarlegt en ekki stilling sem hægt er að breyta.

Hvers vegna client-to-client er ekki vantaða stykkið

client-to-client stýrir því hvort tengdir biðlarar megi skiptast á umferð um þjóninn. Það hleypir ekki biðlurum að, úthlutar ekki auðkennum og býr ekki til þjónaham sem ekki var stilltur, og í kyrrstæðri lyklastillingu er enginn biðlaralisti fyrir það að stjórna.

Hin algenga ruglun snýr að efni tls-crypt eða tls-auth. TLS-þjónn getur deilt einum af þessum lyklum meðal allra biðlara, því hann verndar stjórnrásina í stað þess að sanna hver hver biðlari er. Deildur lykill stjórnrásar í TLS-ham er annar hlutur en deildur kyrrstæður gagnalykill, þótt báðir komi sem svipað útlitandi skrár.

Valið milli hamanna kemur niður á tvær spurningar. Þarf fleiri en eitt tæki að tengjast sjálfstætt, og þarf uppsetningin afturköllun fyrir hvert tæki? Nei við báðum heldur kyrrstæða lyklahamnum fýsilegum; já við hvoru sem er bendir á TLS. Það er enginn þriðji valkostur þar sem annar biðlari er tekinn inn án eigin auðkennis.

Að byggja þjóninn fyrir marga biðlara

Þjónn fyrir marga biðlara þarf TLS-ham, vottorð á þjónahlið og auðkenni fyrir hvern biðlara. Þjónaaðstoðin setur upp vistfangið og haminn fyrir marga biðlara, en hún útvegar ekki TLS-stillinguna, traustakkerið né biðlaravottorðin sem gera inntöku merkingarbæra.

Skráðu hvert tæki gegnum fyrirliggjandi vottorðsstofu í stað þess að afrita skilríki eins biðlara. Aðskilin auðkenni eru það sem gerir afturköllun, leiðsögn fyrir hvern biðlara og gagnlegar skrár mögulegar, og eitt deilt biðlaravottorð fellir alla þrjá.

Ef uppsetningin auðkennir notendur gegnum ytri skrá eða annan þátt heldur sú hönnun sér óbreytt. Að fara í TLS-þjónaham ræður því hvernig jafningjar sanna sig á jarðgöngulaginu og þvingar ekki reikningsbakendann. Haltu ákvörðununum tveimur aðskildum svo breyting í annarri breyti hinni ekki hljóðlaust.

Ákveddu síðan framsendingarstefnuna af ásetningi. client-to-client gerir umferð milli biðlara virka á þjónaleið notendarýmisins, sem margar uppsetningar vilja og sumar mega ekki hafa. Það er stefnurofi, ekki auðkennismeðferð, og ætti að kveikja á því vegna þess að hönnunin krefst þess, ekki vegna þess að kennsluefni hafði það með.

Að athuga að biðlararnir séu raunverulega sjálfstæðir

Tengdu tvo biðlara og staðfestu að þeir fái mismunandi vistföng og birtist með mismunandi auðkennum í þjónaskránni. Afturkallaðu síðan einn og staðfestu að hinn haldi áfram að virka, sem er hagnýta prófið á að auðkennum hafi ekki verið deilt.

Prófaðu leyfða þjónustu milli jafningja og þá sem á að vera lokuð. Tvær farsælar innskráningar sanna inntöku, ekki einangrun, og munurinn skiptir máli þegar uppsetningin á að aðskilja notendahópa.

Að lokum skaltu lesa þjónahaminn úr keyrandi stillingunni en ekki úr minni. Kyrrstæð lykilstilling með viðbótarvalkostum er enn punkt-til-punkt tenging, og réttur TLS-þjónn er eina fyrirkomulagið þar sem nokkrir biðlarar eru raunverulega aðskildir jafningjar.

Ef skráin sýnir eitt sameiginlegt nafn fyrir hvert tæki er hamurinn ekki vandamálið. Skráningarferlið er það.