Эки теңтуштун ортосундагы OpenVPN байланышы үчүн статикалык ачкычпы же TLSпы?

Бири-бири менен гана сүйлөшкөн эки машина бул топологияны сактап, ошентсе да келишилген трафик ачкычтарын ала алышат. Тармактын формасы жана коргоо режими көз карандысыз тандоолор, жана аларды аралаштыруу адамдарды эки демон иштеп жатканда файлды алмаштыруу менен статикалык сырды айлантууга аракет кылууга түртөт. Иштеп жаткан жуптун астында ачкыч файлын алмаштыруу эч нерсени айлантпайт. OpenVPN 2.6 эскирген деп белгилеген статикалык ачкыч режими туннелдин бүт өмүрүндө бир ачкычты кармайт, ошондуктан дисктеги файл менен эстутумдагы ачкыч эки тарап кайра иштетилгенден кийин гана кайра дал келет. Эгер автоматтык жаңыртуу талап болсо, коргоо режими өзгөрүшү керек.

Статикалык ачкыч режими эмнени кыла албайт

Жашыруун режимде эки теңтуш тең туннелди түздөн-түз шифрлеген жана аутентификациялаган алдын ала жалпы ачкычты бөлүшөт. Кол алышуу жок, ошондуктан эч бир тарапта жаңы ачкыч материалын сунуштоо, инсандыгын далилдөө же оператордун кийлигишүүсүз дал келбестиктен чыгуу үчүн механизм жок. Эки касиет тең жетишпеген опциядан эмес, башкаруу каналынын жоктугунан келип чыгат, жана эч бир конфигурация желеги бул режимге андай каналды кошпойт.

OpenVPN 2.6 колдонмосу жаңы ачкыч жаралганга чейин ачкыч сакталарын ачык айтат. Бул лабораториялык байланыш же документтелген айландыруу процедурасы бар туруктуу түзмөк жубу үчүн кабыл алынат, ал эми узак өмүр сүргөн сыр чыныгы тобокел болгон жерде кабыл алынбайт. Файлды алмаштыруу иштеп жаткан жупка жаңы ачкыч жаратпайт; ал макулдашпаган эки теңтушту жаратат. Ошондуктан файлды алмаштыруу айландырууну кошпой, үзгүлтүк кошот.

Ошондой эле файлга ээлик кылуудан тышкары теңтуш инсандыгы деген түшүнүк жок. Ачкычы бар ар ким теңтуш, жана туннелде эч нерсе кайсы тарап кайсы экенин жазбайт, ошондуктан жокко чыгаруу — баары же эч нерсе.

Байланышты кайра долбоорлобой TLSке өтүү

TLS режими башкаруу каналын жана аны менен бирге маалымат каналынын ачкычтарын келишүү мүмкүнчүлүгүн кошот. Чекит-чекит жайгаштырууда бир тарап сервер ролун, экинчиси кардар ролун алат, бирок топология эки теңтуштун ортосундагы байланыш бойдон калат: ар бир тарап экинчисинин акыркы чекитин билет жана эч кандай пул же көп колдонуучулук кызмат пайда болбойт. Ролдор кол алышуунун деталы, жаңы архитектура эмес.

Ар бир машинага өзүнүн инсандыгын бериңиз. Ар бир тарапка сертификат жана жеке ачкыч, экинчисин текшерүүчү ишеним таянычы жана ким күтүлөрүн атаган теңтушту текшерүү эрежеси керек. Убакытты үнөмдөө үчүн бир теңтуштун жеке ачкычын экинчисинде кайра колдонбоңуз; бул эки инсандыкты бирге айландырат жана каалаган тарапты өзүнчө жокко чыгаруу мүмкүнчүлүгүн жок кылат. Каттоо — муну туура жасоочу жер, анткени кийин оңдоо сертификаттарды кайра чыгарууну билдирет.

Коргоо өзгөрүп жатканда тармактык келишимди өзгөртпөй кармаңыз. Ошол эле туннел даректери, маршруттар жана уруксат берилген кызматтар мурун да, кийин да колдонулушу керек, ошондо көчүрүү учурундагы ката жашыруун маршруттоо күтүүсүздүгү эмес, коргоо маселеси болот. Өзгөртүүдөн мурун даректерди жана маршруттарды жазып алыңыз; кийин аларды салыштыруу эстутумдан кайра куруудан тезирээк.

Айрым жайгаштыруулар башкаруу каналын маалымат каналы менен бирге айланбаган өзүнүн статикалык ачкычы менен да коргойт. Бул ачкыч пайдалуу жүктү эмес, кол алышууну кайтарат, ошондуктан анын ачылышы трафикти эмес, сүйлөшүүнү ачыкка чыгарат. Аны маалымат каналынын материалынан өзүнчө сактаңыз жана ээси аталган адам болгон алмаштыруу күнүн бериңиз. Аны айландыруу эки теңтушту шайкештелген терезеде кайра иштетүүнү билдирет, ошондуктан ал эстутумга эмес, календардык жазууга татыктуу.

Ким эмнени, качан жаңыртат

TLS режиминде жаңыртуу конфигурацияланган чектер менен башкарылат: убакыт аралыгы, байт саны же пакет саны. Документтелген убакыттык көзөмөл — көпчүлүк жайгаштыруулар таянган нерсе, жана эки теңтуштун ортосундагы төмөн натыйжалуу маани алмаштырууну башташы мүмкүн, ошондуктан аны бир гана тарапта көтөрүү окуяны кармап калбайт. Көлөмгө негизделген чектер бар, анткени жүктөлгөн байланыш ачкычты сааттан алда канча эрте түгөтүшү мүмкүн. Эки чектин эч бири ден соолук текшерүүсү эмес жана эч бири сизге жаңыртуу ийгиликтүү болгонун айтпайт.

Ошондуктан кайталанма кайра сүйлөшүүнү бир конфигурация файлынан диагностикалоо адаштырат. Эки теңтуштагы параметрлерди окуп, андан кийин ката деп болжолдоонун ордуна журналдагы өтүүнү караңыз. Таза бүткөн жаңыртуу башкаруу каналы трафигинин кыска жарылуусуна окшош, үзүлүүгө эмес.

Объектилерди башыңызда өзүнчө кармаңыз. Сертификат узак мөөнөттүү инсандыкты далилдейт жана сиз көзөмөлдөгөн график боюнча алмаштырылат. Маалымат каналынын ачкычы автоматтык түрдө жаңыртылат, ал эми өзүнчө аутентификация алмашуусу, эгер жайгаштыруу аны талап кылса, эсеп саясатына ылайык келет жана кийинки алмашуулар үчүн өзүнүн келишимдерин талап кылышы мүмкүн.

Жаңыртууну толук өчүрүү, аралыкты нөлгө коюу менен, чуулдуу журналдын чечими эмес. Ал ден соолуктуу жашоо цикл окуясын туруктуу ачкычка айландырат, бул сизди таштагыңыз келген касиетке кайтарат.

Өзгөртүүнү кабыл алуу

Жаңы конфигурацияны орнотулган чыгарылыштын колдоого алынган үлгүсүнөн куруңуз, алгоритмдери жана файл жолдору башка жерден мураска алынган эски минималдуу үзүндүдөн эмес. Алмашууну эки теңтуш бирге өзгөрө тургандай шайкештештириңиз жана бир тарап көтөрүлбөсө, бекитилген калыбына келтирүү жолун кармаңыз. Кайтарууну текшерүү үчүн үзгүлтүктү күтүүнүн ордуна байланышты атайылап түшүрүңүз. Машыккан кайтаруу сүрөттөлгөндөн кымбат.

Үч нерсени текшериңиз: баштапкы инсандыкты текшерүү ийгиликтүү, көздөлгөн колдонмо агымы иштейт жана көзөмөлдөнгөн жаңыртуу трафикти жоготпой жүрөт. Андан кийин журналдагы өтүүнү анын чындыгында эмнени далилдегени боюнча окуңуз: жаңы ачкыч идентификатору теңтуштар алмаштырууну аяктаганын билдирет, туннелдин кайра туташканын эмес. Аны бир кадамдын далили катары карап, көчүрүүнү аякталды деп жарыялоодон мурун трафик эсептегичтерин текшериңиз.

Нөлдүк үзгүлтүк убадасы жашыра турган нерсе — сиз али көрбөгөн бузулуу. Ийгиликсиз жаңыртуу, мөөнөтү бүтүүчү сертификат же жолдун бузулушу байланышты дагы эле бузушу мүмкүн, жана алардын эч бири таза сыноо жүргүзүү менен четтетилбейт. Долбоорлоого татыктуу касиет тарыраак жана пайдалуураак: күндөлүк ачкыч алмаштыруу кол менен файл алмаштыруу болуудан калат.