Vai OpenVPN savienojums ar statisku atslēgu var apkalpot vairākus klientus?

Statiskās atslēgas režīms savieno tieši divus līdzvērtīgus mezglus, un tā ir tā uzbūve, nevis ierobežojums, ko kāds aizmirsa atcelt. client-to-client ir servera režīma pārsūtīšanas opcija, tāpēc tās pievienošana --secret konfigurācijai neko nemaina tajā, cik klientu var pieslēgties. Lēmums nav par to, kuru karodziņu pievienot, bet par to, vai izvietojumam vajadzīgs punkts-punktā savienojums vai pakalpojums vairākiem klientiem. Ja vairākām ierīcēm jāpieslēdzas neatkarīgi, aizsardzības režīms mainās un katra ierīce iegūst identitāti.

Divi mezgli, viena atslēga un nekāda stāvokļa katram klientam: šī forma ir viss režīma stāsts.

Kam domāts statiskās atslēgas režīms

Slepenajā režīmā abi mezgli dala vienu atslēgas failu, un šī atslēga tieši aizsargā datplūsmu. Nav roku sasveicināšanās, nav sertifikātu apmaiņas un nav sesijas katram klientam, jo servera izpratnē klientu nav, ir tikai divi galapunkti.

Režīms joprojām ir noderīgs fiksētam mašīnu pārim ar dokumentētu atslēgu rotācijas procesu, un OpenVPN 2.6 atzīmē to kā novecojušu tieši tāpēc, ka TLS režīms šos gadījumus aptver ar labākām īpašībām. Ko tas nevar, ir atšķirt vienu pieslēgšanās ierīci no citas, jo faila turēšana ir viss autentifikācijas stāsts. Trešās ierīces pievienošana nozīmē dalīt ar to pašu atslēgu, pēc tam pirmās divas vairs nevar to atšķirt no sevis.

Tāpēc divu mezglu robeža ir strukturāla, nevis maināms iestatījums.

Kāpēc client-to-client nav trūkstošā daļa

client-to-client kontrolē, vai pieslēgtie klienti drīkst apmainīties ar datplūsmu caur serveri. Tas neuzņem klientus, nepiešķir identitātes un neveido nekonfigurētu servera režīmu, un statiskās atslēgas konfigurācijā nav klientu saraksta, ko tas varētu pārvaldīt.

Otrs izplatītais pārpratums attiecas uz tls-crypt vai tls-auth materiālu. TLS serveris var dalīt vienu no šīm atslēgām starp visiem klientiem, jo tas aizsargā vadības kanālu, nevis pierāda, kas ir katrs klients. Kopīga vadības kanāla atslēga TLS režīmā ir cits objekts nekā kopīga statiska datu atslēga, lai gan abas ierodas kā līdzīgi izskatāmi faili.

Izvēle starp režīmiem reducējas uz diviem jautājumiem. Vai vairāk nekā vienai ierīcei jāpieslēdzas neatkarīgi, un vai izvietojumam vajadzīga atsaukšana katrai ierīcei? Nē uz abiem saglabā statiskās atslēgas režīmu dzīvotspējīgu; jā uz jebkuru no tiem norāda uz TLS. Nav trešā varianta, kurā otrs klients tiktu uzņemts bez savas identitātes.

Servera vairākiem klientiem izveide

Serverim vairākiem klientiem vajadzīgs TLS režīms, servera puses sertifikāts un identitāte katram klientam. Servera palīgs iestata adrešu kopu un vairāku klientu režīmu, bet tas nenodrošina TLS konfigurāciju, uzticības enkuru vai klientu sertifikātus, kas padara uzņemšanu jēgpilnu.

Reģistrējiet katru ierīci caur esošo sertifikācijas iestādi, nevis kopējiet viena klienta akreditācijas datus. Tieši atšķirīgas identitātes padara iespējamu atsaukšanu, maršrutēšanu katram klientam un noderīgus žurnālus, un viens kopīgs klienta sertifikāts sagrauj visus trīs.

Ja izvietojums autentificē lietotājus caur ārēju katalogu vai otru faktoru, šis dizains paliek tāds, kāds tas ir. Pāreja uz TLS servera režīmu izlemj, kā mezgli pierāda sevi tuneļa slānī, un tas nenosaka kontu aizmuguri. Turiet abus lēmumus atsevišķi, lai izmaiņas vienā klusējot nemainītu otru.

Pēc tam apzināti izlemiet pārsūtīšanas politiku. client-to-client iespējo datplūsmu starp klientiem servera ceļā lietotāja telpā, ko daudzi izvietojumi vēlas un dažiem nedrīkst būt. Tas ir politikas slēdzis, nevis identitātes mehānisms, un tas jāieslēdz tāpēc, ka dizains to prasa, nevis tāpēc, ka apmācība to iekļāva.

Pārbaude, vai klienti patiešām ir neatkarīgi

Savienojiet divus klientus un pārliecinieties, ka tie saņem dažādas adreses un parādās ar dažādām identitātēm servera žurnālā. Pēc tam atsauciet vienu un pārliecinieties, ka otrs turpina darboties, un tas ir praktiskais tests, ka identitātes netika kopīgas.

Pārbaudiet atļauto savstarpējo pakalpojumu un to, kuram jāpaliek bloķētam. Divas veiksmīgas pieteikšanās pierāda uzņemšanu, nevis izolāciju, un šī atšķirība ir svarīga, ja izvietojumam jāšķir lietotāju grupas.

Visbeidzot, lasiet servera režīmu no darbojošās konfigurācijas, nevis no atmiņas. Statiskās atslēgas konfigurācija ar papildu opcijām joprojām ir punkts-punktā savienojums, un pareizs TLS serveris ir vienīgā kārtība, kurā vairāki klienti ir patiešām atsevišķi mezgli.

Ja žurnāls rāda vienu kopīgu nosaukumu katrai ierīcei, problēma nav režīms. Problēma ir reģistrācijas process.