Kann eng OpenVPN-Verbindung mat statteschem Schlëssel méi Clienten zerwéieren?

De Modus mat statteschem Schlëssel verbënnt genee zwee Peers, an dat ass säin Design, net eng Aschränkung, déi een vergiess huet opzehiewen. client-to-client ass eng Viruleedungsoptioun am Servermodus, dofir ännert seng Bäifügung zu enger --secret Konfiguratioun näischt drun, wéi vill Clienten sech kënne verbannen. D’Entscheedung ass net, wéi eng Fändel een derbäi setzt, mä ob d’Deployment eng Punkt-zu-Punkt-Verbindung oder en Déngscht fir méi Clienten brauch. Wann sech méi Apparater onofhängeg musse verbannen, ännert sech de Schutzmodus an all Apparat kritt eng Identitéit.

Zwee Peers, ee Schlëssel an keen Zoustand pro Client: déi Form ass déi ganz Geschicht vum Modus.

Firwat de Modus mat statteschem Schlëssel do ass

Am geheime Modus deelen déi zwee Peers eng eenzeg Schlësseldatei, an dee Schlëssel schützt den Traffic direkt. Et gëtt keen Handshake, keen Zertifikatsaustausch an eng Sitzung pro Client, well et keng Clienten am Server-Sënn gëtt, just zwee Endpunkten.

De Modus bleift nëtzlech fir en fixe Maschinnepuer mat engem dokumentéierte Schlësselrotatiounsprozess, an OpenVPN 2.6 markéiert en als veraltert just well den TLS-Modus déi Fäll mat besseren Eegeschaften deckt. Wat en net kann, ass een Apparat, dee sech verbënnt, vun engem aneren z’ënnerscheeden, well de Besëtz vun der Datei déi ganz Authentifikatiounsgeschicht ass. En drëtten Apparat bäifügen heescht dee selwechte Schlëssel mat him ze deelen, duerno kënnen déi éischt zwee en net méi vun sech selwer ënnerscheeden.

Dofir ass d’Grenz vun zwee Peers strukturell an net eng Astellung, déi ee ka änneren.

Firwat client-to-client net dat feelend Stéck ass

client-to-client kontrolléiert, ob verbonne Clienten Traffic iwwer de Server austausche kënnen. Et léisst keng Clienten era, vergëtt keng Identitéiten a schaaft kee Servermodus, deen net konfiguréiert gouf, an an enger Konfiguratioun mat statteschem Schlëssel gëtt et keng Clientelëscht, déi et kéint geréieren.

Déi aner heefeg Verwiesselung betrëfft Material vun tls-crypt oder tls-auth. En TLS-Server kann ee vun deene Schlësselen iwwer all Clienten deelen, well en de Kontrollkanal schützt amplaz ze beweisen, wien all Client ass. En gedeelte Kontrollkanalschlëssel am TLS-Modus ass en aneren Objet wéi en gedeelte stattesche Datenschlëssel, och wann déi zwee als ähnlech ausgesinn Dateien ukommen.

D’Wiel tëschent de Modusen klappt op zwou Froen erof. Muss sech méi wéi een Apparat onofhängeg verbannen, an brauch d’Deployment eng Widderruffung pro Apparat? En Neen op béides hält de Modus mat statteschem Schlëssel liewensfäeg; en Jo op eng vun deenen zwee weist op TLS. Et gëtt keng drëtt Optioun, wou en zweeten Client ouni seng eege Identitéit zougelooss gëtt.

De Server fir méi Clienten opbauen

En Server fir méi Clienten brauch den TLS-Modus, en Zertifikat op der Serversäit an eng Identitéit pro Client. Den Serverhëllefsprogramm setzt de Adresspool an de Modus fir méi Clienten op, awer en liwwert net d’TLS-Konfiguratioun, de Vertrauensanker oder d’Clientzertifikater, déi d’Zouloossung sënnvoll maachen.

Registréiert all Apparat iwwer déi bestoend Zertifizéierungsautoritéit amplaz d’Authentifikatiounsdonnéeën vun engem Client ze kopéieren. Verschidde Identitéiten erméiglechen de Widderruff, d’Routing pro Client an nëtzlech Logbicher, an een eenzegen gedeelte Clientzertifikat bréngt déi dräi all zesummen.

Wann d’Deployment d’Benotzer iwwer en extern Verzeechnes oder en zweeten Faktor authentifizéiert, bleift deen Design wéi en ass. De Wiessel an den TLS-Servermodus entscheet, wéi d’Peers sech op der Tunnelschicht bewisen, an en dikutéiert net de Konto-Backend. Halt déi zwee Entscheedungen getrennt, sou datt eng Ännerung an der eenz net déi aner stëll ännert.

Duerno entscheet d’Viruleedungspolitik bewosst. client-to-client aktivéiert Traffic tëschent Clienten am Serverwee am Benotzerraum, wat vill Deployments wëllen an eenzel net dierfen hunn. Et ass en Politikschalter, keen Identitéitsmechanismus, an en soll ageschalt ginn, well den Design et verlaangt, net well en Tutoriel en enthalen huet.

Iwwerpréiwen, ob d’Clienten wierklech onofhängeg sinn

Verbannt zwee Clienten a bestätegt, datt se verschidden Adressen kréien a mat verschiddenen Identitéiten am Log vum Server erschéngen. Widderrufft duerno een a bestätegt, datt deen aneren après schafft, wat den prakteschen Test ass, datt d’Identitéiten net gedeelt goufen.

Test den erlaabten Déngscht tëschent de Peers an een, deen agespaart misst bleiwen. Zwee erfollegräich Umellungen beweisen d’Zouloossung, net d’Isolatioun, an den Ënnerscheed zielt, wann d’Deployment Benotzergruppen trenne soll.

Liest schliisslech de Servermodus aus der lafender Konfiguratioun an net aus dem Gediechtnes. Eng Konfiguratioun mat statteschem Schlëssel an zousätzlechen Optiounen ass nach ëmmer eng Punkt-zu-Punkt-Verbindung, an en korrekten TLS-Server ass déi eenzeg Usuerdnung, an där méi Clienten wierklech getrennte Peers sinn.

Wann de Log en gemeinsamen Numm fir all Apparat weist, ass de Modus net de Problem. De Registréierungsprozess ass et.