სჭირდება თუ არა ყველა OpenVPN პირს remote ხაზი? არა ზუსტად
remote ამბობს, სად მიდის პირველი პაკეტი; ის არ ირჩევს კლიენტის, სერვერის ან TLS-ის როლს. წაიკითხეთ განლაგება, სანამ ორივე მხარეს დააკოპირებთ.
ორი პირის კონფიგურაცია გვერდიგვერდ შედარებულია, ერთს აქვს remote ხაზი, მეორეს არა, და დასკვნა ის არის, რომ ერთ-ერთი გატეხილია. ეს დასკვნა საკმარისად ხშირად მცდარია, რომ ღირდეს მისი დაშლა. დირექტივა აღწერს, სად უნდა გაიგზავნოს პირველი პაკეტი. ის არ ირჩევს, პროცესი მოქმედებს როგორც მაწყები კლიენტი თუ როგორც მომლოდინე კარიბჭე, და არ წყვეტს, რომელი მხარე ამტკიცებს თავის იდენტურობას მეორის წინაშე.
რას განსაზღვრავს remote სინამდვილეში
remote ჩანაწერი ასახელებს ჰოსტს, სურვილისამებრ პორტსა და ტრანსპორტს, და სურვილისამებრ რამდენიმე ასეთ ჩანაწერს, რომლებიც რიგრიგობით იცდება.
მის არარსებობას განსაზღვრული და არა გაურკვეველი მნიშვნელობა აქვს: პროცესი ელოდება და არ მოქმედებს მისამართიდან მოსულ პაკეტებზე, თუ ის პირი არ ავთენტიფიცირდება. ამიტომ მოძრავი მომხმარებლების მომსახურე კარიბჭეს არ აქვს მიზეზი, წინასწარ დაასახელოს რომელიმე მათგანი.
წაიკითხეთ ჩანაწერი როგორც მისამართთა ურთიერთობა. არის თუ არა შორეული მხარე სანდო, ამას სერტიფიკატები და შემოწმების პარამეტრები პასუხობენ და არა ის ფაქტი, რომ მისამართი ჩაწერილია.
სამი განლაგება წყვეტს პასუხს
მოძრავ კლიენტს სჭირდება დანიშნულება, რადგან მან უნდა დაიწყოს და მის გარეშე არ იცის, სად არის კარიბჭე. მრავალკლიენტიან კარიბჭეს არ სჭირდება დანიშნულება თითოეული მომხმარებლისთვის, რადგან კლიენტები მოდიან და ავთენტიფიცირდებიან. ცნობილი ბოლოებით განზრახ ორპირიან კავშირს შეიძლება ჰქონდეს დანიშნულება ერთ მხარეს, ორივე მხარეს ან არცერთზე, იმის მიხედვით, რომელი მხარე იწყებს.
ფიქსირებული კლიენტის მისამართის ჩასმა ზოგად კარიბჭეში არის ის შეცდომა, რომელიც ამ კატეგორიების უგულებელყოფიდან გამომდინარეობს. ის მუშაობს მხოლოდ იმ ერთი პირისთვის, რომლის მისამართიც ჩაიწერა, და ყველა დანარჩენს შეცდომაში შეჰყავს.
დირექტივაში არაფერი აქცევს კონფიგურაციას მრავალკლიენტიან სერვერად და მის არსებობაში არაფერი უშლის ხელს სერვერის როლს. OpenVPN 2.6-ის ცნობარი ცალ-ცალკე აღწერს სურვილისამებრ არგუმენტებს და ქცევას remote-ის გარეშე, რაც მინიშნებაა მათი დამოუკიდებლობის ხარისხზე.
| Arrangement | Needs a destination |
|---|---|
| Roaming client | Yes, which gateway to contact |
| Multi-client gateway | No, peers authenticate on arrival |
| Two known peers | Depends on which side initiates |
ტრანსპორტის როლები სხვა ღერძია
TCP-ში ერთი მხარე ელოდება, მეორე კი რეკავს. ეს დანიშნულებისგან დამოუკიდებელი დირექტივებია და მათი შერევა ქმნის წყვილს, სადაც ორივე ელოდება ან ორივე რეკავს.
არსებობს TCP წყაროს ფილტრის როლიც, ამიტომ სერვერს არასოდეს არ შეიძლება ჰქონდეს remote — ეს ბრტყელი მტკიცება მცდარია.
UDP-ში დასამყარებელი კავშირი არ არის, ამიტომ ორივე ბოლო იყენებს შესაბამის UDP ტრანსპორტს და დირექტივა მხოლოდ ამბობს, საით უნდა დამიზნდეს. ავთენტიფიცირებული პირის მისამართის ცვლილებებს სპეციალური ქცევა მართავს და არა მეტი ჩანაწერის დამატება. ტრანსპორტის სწორად დაყენება წინაპირობაა იმისა, რომ დანიშნულებას რაიმე მნიშვნელობა ჰქონდეს, და ამ ორის არევა ქმნის კონფიგურაციებს, რომლებიც დამაჯერებლად გამოიყურება და არასოდეს ასრულებს ხელის ჩამორთმევას.
რატომ არ არის remote-ის არარსებობა ღია კარი
დანიშნულების გარეშე პროცესი მაინც უარყოფს იმ პირების ტრაფიკს, რომლებიც არ ავთენტიფიცირდებიან, და სწორედ ეს ნაწილი გამორჩებათ ადამიანებს, როცა არარსებულ ხაზს ყველასთვის ღია მსმენელად კითხულობენ.
ავთენტიფიკაცია და დანიშნულება დამოუკიდებელია და ნდობისთვის პირველია მთავარი.
საპირისპირო შეცდომა უფრო საშიშია. ფიქსირებული წყაროს მისამართი შეიძლება წვდომის კონტროლად იგრძნობოდეს, რადგან კონკრეტულია და მარტივად შესამოწმებელი, მაგრამ არაფერს ამტკიცებს იმაზე, თუ ვინ არის მეორე მხარეს. შეინარჩუნეთ სერტიფიკატის შემოწმება და იდენტურობის შემოწმებები, რომლებიც სერტიფიკატს მის როლს უკავშირებს. მათი მისამართის დამთხვევით ჩანაცვლება ნამდვილ კონტროლს მის იერსახეში ცვლის.
ჩაწერეთ, რას უშვებს კონფიგურაცია
თითოეული მხარისთვის ჩაწერეთ სამი რამ: როგორ აღწევს პირველი პაკეტი პირამდე, რომელ მხარეს შეუძლია ტრანსპორტის მიღება და რას ამოწმებს თითოეული მხარე მეორეზე.
ეს დაშვებები დიზაინია. დირექტივები მხოლოდ მათი მართლწერაა.
თუ ორი ფაილი განსხვავდება, შეამოწმეთ, გამოხატავენ თუ არა ისინი სხვადასხვა დაშვებას, ნაცვლად იმისა, რომ ერთი მცდარად ჩათვალოთ. სიმეტრიული ფაილების წყვილი არც აუცილებელია და არც საკმარისი მოქმედი გვირაბისთვის, და ასიმეტრია ხშირად ის ნაწილია, რომელიც ტოპოლოგიას მუშაობს.