Екі теңдес арасындағы OpenVPN байланысы үшін статикалық кілт пе, әлде TLS пе?

Бір-бірімен ғана сөйлесетін екі машина бұл топологияны сақтап, соған қарамастан келісілген трафик кілттерін ала алады. Желі пішіні мен қорғаныс режимі тәуелсіз таңдаулар, және оларды шатастыру адамдарды екі демон жұмысын жалғастырып жатқанда файлды ауыстыру арқылы статикалық құпияны айналдыруға тырысуға итермелейді. Жұмыс істеп тұрған жұптың астында кілт файлын ауыстыру ештеңені айналдырмайды. OpenVPN 2.6 ескірген деп белгілеген статикалық кілт режимі туннельдің бүкіл өмірінде бір кілтті ұстайды, сондықтан дискідегі файл мен жадыдағы кілт екі жақ қайта іске қосылғаннан кейін ғана қайта сәйкеседі. Егер автоматты жаңарту талап болса, қорғаныс режимі өзгеруі керек.

Статикалық кілт режимі не істей алмайды

Құпия режимде екі теңдес те туннельді тікелей шифрлайтын және аутентификациялайтын алдын ала ортақ кілтті бөліседі. Қол алысу жоқ, сондықтан ешбір жақта жаңа кілт материалын ұсынуға, сәйкестікті дәлелдеуге немесе оператордың араласуынсыз сәйкессіздіктен шығуға арналған механизм жоқ. Екі қасиет те жетіспейтін опциядан емес, басқару арнасының болмауынан туындайды және ешбір конфигурация жалаушасы бұл режимге ондай арнаны қоспайды.

OpenVPN 2.6 нұсқаулығы жаңа кілт жасалғанша кілттің сақталатынын анық айтады. Бұл зертханалық байланыс немесе құжатталған айналдыру процедурасы бар қозғалмайтын құрылғы жұбы үшін қолайлы, ал ұзақ өмір сүретін құпия нақты тәуекел болып табылатын жерде қолайсыз. Файлды ауыстыру жұмыс істеп тұрған жұпқа жаңа кілт жасамайды; ол келіспейтін екі теңдес жасайды. Сондықтан файлды ауыстыру айналдыруды қоспай, үзіліс қосады.

Сондай-ақ файлды иеленуден басқа теңдес сәйкестігі деген ұғым жоқ. Кілті бар кез келген адам теңдес, және туннельде ешнәрсе қай жақ қайсы екенін жазбайды, сондықтан күшін жою — бәрі немесе ештеңе.

Байланысты қайта жобаламай TLS-ке көшу

TLS режимі басқару арнасын және онымен бірге деректер арнасының кілттерін келісу мүмкіндігін қосады. Нүкте-нүкте орналастыруда бір жақ сервер рөлін, екіншісі клиент рөлін алады, бірақ топология екі теңдес арасындағы байланыс болып қалады: әр жақ екіншісінің соңғы нүктесін біледі және ешбір пул немесе көп пайдаланушылық қызмет пайда болмайды. Рөлдер қол алысудың бөлшегі, жаңа архитектура емес.

Әр машинаға өз сәйкестігін беріңіз. Әр жаққа сертификат пен жеке кілт, екіншісін тексеретін сенім тірегі және кім күтілетінін атайтын теңдесті тексеру ережесі қажет. Уақытты үнемдеу үшін бір теңдестің жеке кілтін екіншісінде қайта пайдаланбаңыз; бұл екі сәйкестікті бірге айналдырады және кез келген жақты бөлек күшін жою мүмкіндігін жояды. Тіркеу — мұны дұрыс жасайтын орын, өйткені кейін түзету сертификаттарды қайта шығаруды білдіреді.

Қорғаныс өзгеріп жатқанда желілік шартты өзгеріссіз ұстаңыз. Бірдей туннель мекенжайлары, маршруттар және рұқсат етілген қызметтер бұрын да, кейін де қолданылуы керек, сонда көшіру кезіндегі ақау жасырын маршруттау тосынсыйы емес, қорғаныс мәселесі болып қалады. Өзгеріске дейін мекенжайлар мен маршруттарды жазып алыңыз; кейін оларды салыстыру жадыдан қайта құрудан жылдамырақ.

Кейбір орналастырулар басқару арнасын деректер арнасымен бірге айналмайтын өзінің статикалық кілтімен де қорғайды. Бұл кілт пайдалы жүкті емес, қол алысуды күзетеді, сондықтан оның ашылуы трафикті емес, келіссөзді әшкерелейді. Оны деректер арнасының материалынан бөлек сақтаңыз және иесі аталған адам болып табылатын ауыстыру күнін беріңіз. Оны айналдыру екі теңдесті үйлестірілген терезеде қайта іске қосуды білдіреді, сондықтан ол жадыға емес, күнтізбе жазбасына лайық.

Кім нені, қашан жаңартады

TLS режимінде жаңарту конфигурацияланған шектермен басқарылады: уақыт аралығы, байт саны немесе пакет саны. Құжатталған уақыттық бақылау — көптеген орналастырулар сүйенетін нәрсе, және екі теңдестің арасындағы төмен тиімді мән ауыстыруды бастай алады, сондықтан оны тек бір жақта көтеру оқиғаны ұстап қалмайды. Көлемге негізделген шектер бар, өйткені жүктелген байланыс кілтті сағаттан әлдеқайда бұрын таусылуы мүмкін. Екі шектің ешқайсысы денсаулық тексерісі емес және ешқайсысы сізге жаңартудың сәтті болғанын айтпайды.

Сондықтан қайталанатын қайта келіссөзді бір конфигурация файлынан диагностикалау жаңылыстырады. Екі теңдестегі параметрлерді оқып, содан кейін ақау деп болжаудың орнына журналдағы ауысуды қараңыз. Таза аяқталатын жаңарту басқару арнасы трафигінің қысқа жарылысына ұқсайды, үзілуге емес.

Нысандарды басыңызда бөлек ұстаңыз. Сертификат ұзақ мерзімді сәйкестікті дәлелдейді және сіз бақылайтын кесте бойынша ауыстырылады. Деректер арнасының кілті автоматты түрде жаңартылады, ал бөлек аутентификация алмасуы, егер орналастыру оны талап етсе, шот саясатына сәйкес келеді және кейінгі алмасулар үшін өз келісімдерін қажет етуі мүмкін.

Жаңартуды толығымен өшіру, аралықты нөлге қою арқылы, шулы журналдың шешімі емес. Ол сау өмірлік цикл оқиғасын тұрақты кілтке айналдырады, бұл сізді тастағыңыз келген қасиетке қайтарады.

Өзгерісті қабылдау

Жаңа конфигурацияны орнатылған шығарылымның қолдау көрсетілген үлгісінен құрыңыз, алгоритмдері мен файл жолдары басқа жерден мұраланған ескі минималды үзіндіден емес. Ауысуды екі теңдес бірге өзгеретіндей үйлестіріңіз және бір жақ көтерілмесе, бекітілген қалпына келтіру жолын ұстаңыз. Кері қайтаруды тексеру үшін үзілісті күтудің орнына байланысты әдейі түсіріңіз. Жаттыққан кері қайтару сипатталғаннан қымбат.

Үш нәрсені тексеріңіз: бастапқы сәйкестікті растау сәтті, көзделген қолданба ағыны жұмыс істейді және бақыланатын жаңарту трафикті жоғалтпай орын алады. Содан кейін журналдағы ауысуды оның шын мәнінде нені дәлелдейтіні тұрғысынан оқыңыз: жаңа кілт идентификаторы теңдестер ауыстыруды аяқтағанын білдіреді, туннельдің қайта қосылғанын емес. Оны бір қадамның дәлелі ретінде қарастырыңыз және көшіруді аяқталды деп жарияламас бұрын трафик санағыштарын тексеріңіз.

Нөлдік үзіліс уәдесі жасыратын нәрсе — сіз әлі көрмеген ақау. Сәтсіз жаңарту, мерзімі бітетін сертификат немесе жол ақауы байланысты әлі де бұзуы мүмкін, және олардың ешқайсысы таза сынақ жүргізумен жоққа шығарылмайды. Жобалауға тұрарлық қасиет тар және пайдалырақ: күнделікті кілт ауыстыру қолмен файл ауыстыру болудан қалады.