Vai katram OpenVPN vienaudzim ir vajadzīga remote rinda? Ne gluži

Divas vienaudžu konfigurācijas tiek salīdzinātas blakus, vienā ir remote rinda, otrā nav, un secinājums ir, ka viena no tām ir salauzta. Šis secinājums ir pietiekami bieži nepareizs, lai to būtu vērts izjaukt. Direktīva apraksta, kur jānosūta pirmā pakete. Tā neizvēlas, vai process darbojas kā iniciējošs klients vai kā gaidoša vārteja, un tā neizlemj, kura puse pierāda savu identitāti otrai.

Ko remote faktiski nosaka

remote ieraksts nosauc resursdatoru, pēc izvēles portu un transportu, un pēc izvēles vairākus šādus ierakstus, kas tiek mēģināti pēc kārtas.

Tā neesamībai ir noteikta, nevis nenoteikta nozīme: process gaida un neapstrādā paketes no adreses, ja vien attiecīgais vienaudzis neautentificējas. Tāpēc vārtejai, kas apkalpo klejojošus lietotājus, nav iemesla iepriekš nosaukt kādu no viņiem.

Lasiet ierakstu kā adrešu attiecības. To, vai tālajam galam var uzticēties, atbild sertifikāti un pārbaudes opcijas, nevis fakts, ka adrese tika pierakstīta.

Atbildi nosaka trīs izkārtojumi

Klejojošam klientam ir vajadzīgs galamērķis, jo tam jāiniciē un bez tā tas nezina, kur ir vārteja. Daudzklientu vārtejai nav vajadzīgs galamērķis katram lietotājam, jo klienti ierodas un autentificējas. Apzinātam divu vienaudžu savienojumam ar zināmiem galiem var būt galamērķis vienā pusē, abās pusēs vai nevienā, atkarībā no tā, kura puse iniciē.

Fiksētas klienta adreses ielīmēšana vispārējā vārtejā ir kļūda, kas izriet no šo kategoriju ignorēšanas. Tā darbojas vienīgajam vienaudzim, kura adrese tika reģistrēta, un maldina visus pārējos.

Nekas direktīvā nepārvērš konfigurāciju par daudzklientu serveri, un nekas tās klātbūtnē netraucē servera lomai. OpenVPN 2.6 uzziņa atsevišķi dokumentē izvēles argumentus un uzvedību bez remote, kas ir mājiens par to, cik neatkarīgi tie ir.

Transporta lomas ir cita ass

TCP gadījumā viena puse gaida, bet otra zvana. Tās ir atsevišķas direktīvas no galamērķa, un to sajaukšana rada pāri, kurā abas gaida vai abas zvana.

Pastāv arī TCP avota filtra loma, tāpēc plakanais apgalvojums, ka serveris nekad nedrīkst saturēt remote, ir nepareizs.

UDP gadījumā nav savienojuma, kas jāizveido, tāpēc abi gali izmanto atbilstošo UDP transportu, un direktīva tikai norāda, kur mērķēt. Autentificēta vienaudža adreses izmaiņas apstrādā īpaša uzvedība, nevis papildu ierakstu pievienošana. Pareizs transports ir priekšnoteikums, lai galamērķis kaut ko nozīmētu, un abu sajaukšana rada konfigurācijas, kas izskatās ticami un nekad nepabeidz rokasspiedienu.

Kāpēc neesošs remote nav atvērtas durvis

Process bez galamērķa joprojām noraida datplūsmu no vienaudžiem, kas neautentificējas, un tas ir tas, ko cilvēki palaiž garām, kad trūkstošo rindu lasa kā klausītāju, kas atvērts visiem.

Autentifikācija un galamērķis ir neatkarīgi, un pirmais ir tas, kam ir nozīme uzticēšanās ziņā.

Pretējā kļūda ir bīstamāka. Fiksēta avota adrese var šķist kā piekļuves kontrole, jo tā ir konkrēta un viegli pārbaudāma, bet tā neko nepierāda par to, kas ir otrā galā. Saglabājiet sertifikātu pārbaudi un identitātes pārbaudes, kas sertifikātu piesaista tā lomai. Aizstāt tās ar adrešu sakritību nozīmē apmainīt reālu kontroli pret tās izskatu.

Pierakstiet, ko konfigurācija pieņem

Katrai pusei pierakstiet trīs lietas: kā pirmā pakete nonāk pie vienaudža, kura puse var pieņemt transportu un ko katra puse pārbauda par otru.

Šie pieņēmumi ir dizains. Direktīvas ir tikai to rakstība.

Ja abi faili atšķiras, pārbaudiet, vai tie izsaka atšķirīgus pieņēmumus, nevis pieņemiet, ka viens ir nepareizs. Simetrisks failu pāris nav ne nepieciešams, ne pietiekams strādājošam tunelim, un asimetrija bieži ir tā daļa, kas liek topoloģijai darboties.