Brauch all OpenVPN-Peer eng remote-Zeil? Net genee
remote seet wouhin deen éischte Paket geet; et wielt net d’Roll vum Client, Server oder TLS. Liest d’Arrangement ier Dir et op béid Säite kopéiert.
Zwou Peer-Konfiguratioune ginn niefteneen verglach, déi eng huet eng remote-Zeil an déi aner net, an d’Conclusioun ass datt eng vun hinnen futti ass. Dës Inferenz ass dacks genuch falsch fir se auserneen ze huelen. D’Direktiv beschreift wouhin deen éischte Paket soll geschéckt ginn. Si wielt net ob de Prozess als initiéierende Client oder als waarde Portal handelt, an si entscheet net wéi eng Säit seng Identitéit virun der anerer beweist.
Wat remote tatsächlech festleet
Eng remote-Entrée nennt en Host, optional e Port an en Transport, an optional méi sou Entréen déi der Rei no probéiert ginn.
Seng Absenz huet eng definéiert an net eng ondefinéiert Bedeitung: de Prozess waart a reagéiert net op Pakete vun enger Adress, ausser wann dee Peer sech authentifizéiert. Eng Portal déi Roaming-Benotzer servéiert huet dowéinst kee Grond fir een vun hinnen am Viraus ze nennen.
Liest d’Entrée als eng Adressbezéiung. Ob dem Géigeniwwer ze trauen ass, beäntweren d’Zertifikater an d’Verifikatiounsoptiounen, net den Taux datt eng Adress opgeschriwwe gouf.
Dräi Arrangementer entscheeden d’Äntwert
En Roaming-Client brauch en Zil, well en initiéiere muss an ouni dat net weess wou d’Portal ass. Eng Multi-Client-Portal brauch keen Zil pro Benotzer, well d’Cliente kommen an sech authentifizéieren. Eng bewosst Zwee-Peer-Verbindung mat bekannten Endpunkten kann op enger Säit, op béide Säiten oder op kenger en Zil hunn, jee nodeem wéi eng Säit initiéiert.
Eng fix Client-Adress an eng allgemeng Portal ze pechen ass de Feeler deen aus dem Ignoréiere vun dëse Kategorien entsteet. Et funktionéiert fir deen eenzegen Peer deem seng Adress opgeholl gouf a féiert all déi aner an d’Irre.
Näischt an der Direktiv mécht eng Konfiguratioun zu engem Multi-Client-Server, an näischt a senger Präsenz verhënnert eng Serverroll. D’OpenVPN-2.6-Referenz dokumentéiert d’optional Argumenter an d’Verhalen ouni remote getrennt, wat en Hiwäis drop ass wéi onofhängeg se sinn.
| Arrangement | Needs a destination |
|---|---|
| Roaming client | Yes, which gateway to contact |
| Multi-client gateway | No, peers authenticate on arrival |
| Two known peers | Depends on which side initiates |
Transportrolle sinn eng aner Achs
Bei TCP waart déi eng Säit an déi aner wielt. Dat sinn getrennt Direktiven vum Zil, an hir Vermëschung gëtt en Paar an deem béid waarden oder béid wielen.
Et gëtt och eng TCP-Quellfilterroll, an dofir ass déi platt Ausso datt en Server ni remote däerf enthalen falsch.
Bei UDP gëtt et keng Verbindung opzebauen, also benotzen béid Enner den entspriechenden UDP-Transport an d’Direktiv seet just wouhi gezilt gëtt. Adressännerungen vun engem authentifizéierte Peer ginn duerch eegent Verhalen behandelt an net duerch méi Entréen. Den Transport richteg ze hunn ass eng Viraussetzung dofir datt d’Zil eppes bedeit, an déi zwee ze verwiesselen produzéiert Konfiguratiounen déi plausibel ausgesinn an ni en Handshake fäerdeg maachen.
Firwat eng feelend remote keng oppen Dier ass
En Prozess ouni Zil refuséiert ëmmer nach Verkéier vu Peeren déi sech net authentifizéieren, an dat ass deen Deel deen d’Leit iwwersinn wann se déi feelend Zeil als en Hörer liesen deen fir jiddereen oppen ass.
Authentifikatioun an Zil sinn onofhängeg, an déi éischt ass déi déi fir Vertraue wichteg ass.
De Géigendeel-Feeler ass geféierlecher. Eng fix Quelladress kann sech wéi eng Zougangskontroll ufëllen well se spezifesch an einfach ze préiwen ass, awer se beweist näischt doriwwer wien um aneren Enn sëtzt. Halt d’Zertifikatverifikatioun, an halt d’Identitéitspréiwer déi en Zertifikat u seng Roll bannen. Se duerch eng Adress-Iwwereneestëmmung z’ersetzen tauscht eng richteg Kontroll géint hiren Ausgesinn.
Schreift op wat d’Konfiguratioun unhëlt
Fir all Säit, schreift dräi Saachen op: wéi deen éischte Paket de Peer erreecht, wéi eng Säit den Transport akzeptéiere kann, a wat all Säit iwwer déi aner verifizéiert.
Déi Unhuelen sinn den Design. D’Direktive sinn just hir Schreifweis.
Wann déi zwou Dateie sech ënnerscheeden, préift ob se ënnerschiddlech Unhuelen ausdrécken amplaz unzehuelen datt eng falsch ass. En symmetrescht Paar Dateien ass weder néideg nach genuch fir en funktionéierenden Tunnel, an d’Asymmetrie ass dacks deen Deel deen eng Topologie funktionéiere léisst.