Статикалык ачкычтуу OpenVPN байланышы бир нече кардарга кызмат кыла алабы?

Статикалык ачкыч режими так эки тең өнөктөштү туташтырат жана бул анын түзүлүшү, бирөө алып салууну унутуп калган чектөө эмес. client-to-client сервер режиминин багыттоо опциясы, ошондуктан аны --secret конфигурациясына кошуу канча кардар туташа аларын өзгөртпөйт. Чечим кайсы флаг кошуу эмес, жайгаштырууга чекиттен чекитке байланыш же көп кардарлуу кызмат керекпи дегенде. Эгер бир нече түзмөк өз алдынча туташышы керек болсо, коргоо режими өзгөрөт жана ар бир түзмөк идентификация алат.

Эки өнөктөш, бир ачкыч жана кардар боюнча эч кандай абал жок: ушул форма режимдин бүткүл окуясы.

Статикалык ачкыч режими эмне үчүн

Жашыруун режимде эки өнөктөш тең бир ачкыч файлын бөлүшөт жана ал ачкыч трафикти түздөн-түз коргойт. Кол алышуу да, сертификат алмашуу да, кардар боюнча сессия да жок, анткени сервер маанисинде кардарлар жок, болгону эки четки чекит бар.

Режим ачкычты алмаштыруунун документтелген процесси бар туруктуу машина жуп үчүн пайдалуу бойдон калат жана OpenVPN 2.6 аны так ушундан улам эскирген деп белгилейт, анткени TLS режими ал учурларды жакшыраак касиеттер менен камтыйт. Ал кыла албаган нерсе — туташып жаткан бир түзмөктү экинчисинен айырмалоо, анткени файлга ээлик кылуу аутентификациянын бүткүл окуясы. Үчүнчү түзмөктү кошуу аны менен ошол эле ачкычты бөлүшүүнү билдирет, андан кийин алгачкы экөө аны өздөрүнөн айырмалай албайт.

Ошондуктан эки өнөктөш чеги структуралык, өзгөртүлүүчү жөндөө эмес.

Эмне үчүн client-to-client жетишпеген бөлүк эмес

client-to-client туташкан кардарлар сервер аркылуу трафик алмаша алабы же жокпу көзөмөлдөйт. Ал кардарларды кабыл албайт, идентификация бербейт жана конфигурацияланбаган сервер режимин түзбөйт, ал эми статикалык ачкыч конфигурациясында ал башкара турган кардарлардын тизмеси жок.

Дагы бир кеңири тараган чаташуу tls-crypt же tls-auth материалына байланыштуу. TLS сервери ошол ачкычтардын бирин бардык кардарлардын ортосунда бөлүшө алат, анткени ал ар бир кардардын ким экенин далилдөөнүн ордуна башкаруу каналын коргойт. TLS режиминдеги жалпы башкаруу каналынын ачкычы жалпы статикалык маалымат ачкычынан башка объект, экөө тең окшош көрүнгөн файл катары келсе да.

Режимдердин ортосундагы тандоо эки суроого келет. Бир түзмөктөн көбү өз алдынча туташышы керекпи жана жайгаштырууга ар бир түзмөк боюнча жокко чыгаруу керекпи? Экөөнө тең жок деген статикалык ачкыч режимин жашоого жөндөмдүү кылат; кайсы бирине ооба деген TLS көздөйт. Экинчи кардар өз идентификациясыз кабыл алынган үчүнчү вариант жок.

Көп кардарлуу серверди куруу

Көп кардарлуу серверге TLS режими, сервер тараптагы сертификат жана ар бир кардар үчүн идентификация керек. Сервер жардамчысы дарек пулун жана көп кардарлуу режимди орнотот, бирок ал TLS конфигурациясын, ишеним анкерин же кабыл алууну маанилүү кылган кардар сертификаттарын бербейт.

Бир кардардын эсептик маалыматтарын көчүрүүнүн ордуна ар бир түзмөктү учурдагы сертификат органы аркылуу каттаңыз. Так бөлөк идентификациялар жокко чыгарууну, ар бир кардар боюнча маршруттоону жана пайдалуу журналдарды мүмкүн кылат, ал эми бир жалпы кардар сертификаты үчөөнү тең кулатат.

Эгер жайгаштыруу колдонуучуларды сырткы каталог же экинчи фактор аркылуу аутентификацияласа, ал долбоор ошол бойдон калат. TLS сервер режимине өтүү өнөктөштөрдүн туннель катмарында өзүн кантип далилдей турганын чечет жана эсептин арткы бөлүгүн талап кылбайт. Эки чечимди өзүнчө сактаңыз, биринин өзгөрүүсү экинчисин үнсүз өзгөртпөсүн.

Андан кийин багыттоо саясатын атайын чечиңиз. client-to-client колдонуучу мейкиндигинин сервер жолунда кардарлар ортосундагы трафикти иштетет, муну көп жайгаштыруулар каалайт, ал эми айрымдарына болбошу керек. Бул саясат которгучу, идентификация механизми эмес жана окуу куралында болгондуктан эмес, долбоор талап кылгандыктан күйгүзүлүшү керек.

Кардарлардын чындап өз алдынча экенин текшерүү

Эки кардарды туташтырыңыз жана алардын ар башка даректерди аларын жана сервер журналында ар башка идентификациялар менен көрүнөрүн ырастаңыз. Андан кийин бирин жокко чыгарыңыз жана экинчиси ишин улантарын ырастаңыз, бул идентификациялар бөлүшүлбөгөндүгүнүн практикалык сынагы.

Уруксат берилген өнөктөштөр аралык кызматты жана блоктолуп калышы керек болгон кызматты сынаңыз. Эки ийгиликтүү кирүү кабыл алууну далилдейт, обочолонууну эмес, жана жайгаштыруу колдонуучу топторун бөлүшү керек болгондо бул айырма маанилүү.

Акырында сервер режимин эстутумдан эмес, иштеп жаткан конфигурациядан окуңуз. Кошумча опциялары бар статикалык ачкыч конфигурациясы дагы эле чекиттен чекитке байланыш, ал эми туура TLS сервери бир нече кардар чындап өзүнчө өнөктөш болгон жалгыз жайгашуу.

Эгер журнал ар бир түзмөк үчүн бир жалпы ат көрсөтсө, маселе режимде эмес. Маселе каттоо процессинде.