Статикалық кілтті OpenVPN байланысы бірнеше клиентке қызмет ете ала ма?

Статикалық кілт режимі дәл екі тең құрдасты қосады және бұл оның құрылымы, біреу алып тастауды ұмытып кеткен шектеу емес. client-to-client сервер режимінің қайта бағыттау параметрі, сондықтан оны --secret конфигурациясына қосу қанша клиент қосыла алатынына ештеңе өзгертпейді. Шешім қандай жалауша қосу емес, орналастыруға нүктеден нүктеге байланыс немесе көпклиентті қызмет қажет пе дегенде. Егер бірнеше құрылғы дербес қосылуы керек болса, қорғаныс режимі өзгереді және әр құрылғы сәйкестік алады.

Екі құрдас, бір кілт және клиент бойынша ешқандай күй жоқ: бұл пішін режимнің барлық әңгімесі.

Статикалық кілт режимі не үшін керек

Құпия режимде екі құрдас бір кілт файлын бөліседі және сол кілт трафикті тікелей қорғайды. Қол алысу да, сертификат алмасу да, клиент бойынша сессия да жоқ, өйткені сервер мағынасында клиенттер жоқ, тек екі шеткі нүкте бар.

Режим кілтті айналдырудың құжатталған процесі бар тұрақты машина жұбы үшін пайдалы болып қалады және OpenVPN 2.6 оны дәл TLS режимі бұл жағдайларды жақсырақ қасиеттермен қамтитындықтан ескірген деп белгілейді. Ол істей алмайтыны — қосылып жатқан бір құрылғыны екіншісінен ажырату, өйткені файлға иелік ету аутентификацияның бүкіл әңгімесі. Үшінші құрылғыны қосу онымен бір кілтті бөлісу дегенді білдіреді, содан кейін алғашқы екеуі оны өзінен ажырата алмайды.

Сондықтан екі құрдас шегі құрылымдық, өзгертуге болатын параметр емес.

Неліктен client-to-client жетіспейтін бөлік емес

client-to-client қосылған клиенттердің сервер арқылы трафик алмаса алатынын басқарады. Ол клиенттерді қабылдамайды, сәйкестік бермейді және конфигурацияланбаған сервер режимін жасамайды, ал статикалық кілт конфигурациясында ол басқаратын клиент тізімі жоқ.

Басқа кең тараған шатасу tls-crypt немесе tls-auth материалына қатысты. TLS сервері сол кілттердің бірін барлық клиенттер арасында бөлісе алады, өйткені ол әр клиенттің кім екенін дәлелдеудің орнына басқару арнасын қорғайды. TLS режиміндегі ортақ басқару арнасы кілті ортақ статикалық деректер кілтінен өзге объект, екеуі де ұқсас көрінетін файл ретінде келсе де.

Режимдер арасындағы таңдау екі сұраққа тіреледі. Бір құрылғыдан көбі дербес қосылуы керек пе және орналастыруға әр құрылғы бойынша кері қайтару қажет пе? Екеуіне де жоқ деген статикалық кілт режимін өміршең ұстайды; кез келгеніне иә деген TLS-ке нұсқайды. Екінші клиент өз сәйкестігінсіз қабылданатын үшінші нұсқа жоқ.

Көпклиентті серверді құру

Көпклиентті серверге TLS режимі, сервер жағындағы сертификат және әр клиент үшін сәйкестік қажет. Сервер көмекшісі мекенжай пулын және көпклиентті режимді орнатады, бірақ ол TLS конфигурациясын, сенім анкерін немесе қабылдауды мағыналы ететін клиент сертификаттарын бермейді.

Бір клиенттің тіркелгі деректерін көшірудің орнына әр құрылғыны бар сертификат органы арқылы тіркеңіз. Дәл бөлек сәйкестіктер кері қайтаруды, әр клиент бойынша маршруттауды және пайдалы журналдарды мүмкін етеді, ал бір ортақ клиент сертификаты үшеуін де құлатады.

Егер орналастыру пайдаланушыларды сыртқы каталог немесе екінші фактор арқылы аутентификацияласа, бұл құрылым сол күйінде қалады. TLS сервер режиміне көшу құрдастардың туннель қабатында өзін қалай дәлелдейтінін шешеді және тіркелгі артқы жағын талап етпейді. Екі шешімді бөлек ұстаңыз, біріндегі өзгеріс екіншісін үнсіз өзгертпесін.

Содан кейін қайта бағыттау саясатын әдейі шешіңіз. client-to-client пайдаланушы кеңістігіндегі сервер жолында клиенттер арасындағы трафикті қосады, оны көптеген орналастырулар қалайды, ал кейбіреулеріне болмауы тиіс. Бұл саясат қосқышы, сәйкестік механизмі емес, және оқулықта болғандықтан емес, құрылым талап еткендіктен қосылуы керек.

Клиенттердің шынымен дербес екенін тексеру

Екі клиентті қосыңыз және олардың түрлі мекенжайлар алатынын және сервер журналында түрлі сәйкестіктермен көрінетінін растаңыз. Содан кейін біреуін кері қайтарыңыз және екіншісі жұмысын жалғастыратынын растаңыз, бұл сәйкестіктер бөліспегенінің практикалық сынағы.

Рұқсат етілген құрдасаралық қызметті және бұғатталған күйде қалуы тиіс қызметті сынаңыз. Екі сәтті кіру қабылдауды дәлелдейді, оқшаулауды емес, және орналастыру пайдаланушы топтарын бөлуі тиіс болғанда бұл айырмашылық маңызды.

Соңында сервер режимін жадтан емес, жұмыс істеп тұрған конфигурациядан оқыңыз. Қосымша параметрлері бар статикалық кілт конфигурациясы әлі де нүктеден нүктеге байланыс, ал дұрыс TLS сервері бірнеше клиент шынымен бөлек құрдас болатын жалғыз орналасу.

Егер журнал әр құрылғы үшін бір ортақ атау көрсетсе, мәселе режимде емес. Мәселе тіркеу процесінде.