Дали на секој OpenVPN peer му треба линија remote? Не сосема

Две peer-конфигурации се споредуваат една до друга, едната има линија remote, другата не, а заклучокот е дека едната е расипана. Тој заклучок е доволно често погрешен за да вреди да се разложи. Директивата опишува каде треба да се испрати првиот пакет. Таа не избира дали процесот дејствува како клиент што иницира или како порта што чека, и не одлучува која страна го докажува својот идентитет пред другата.

Што всушност одредува remote

Записот remote именува домаќин, по избор порта и транспорт, и по избор неколку такви записи што се обидуваат по ред.

Неговото отсуство има определено, а не неопределено значење: процесот чека и не дејствува на пакети од адреса освен ако тој peer не се автентицира. Затоа портата што ги опслужува патувачките корисници нема причина однапред да именува никого од нив.

Читајте го записот како однос на адреси. Дали далечниот крај е доверлив, одговараат сертификатите и опциите за проверка, а не фактот што е запишана адреса.

Три распореди го одлучуваат одговорот

На патувачкиот клиент му треба одредиште, бидејќи мора да иницира и без него не знае каде е портата. На портата со многу клиенти не ѝ треба одредиште по корисник, бидејќи клиентите доаѓаат и се автентицираат. Намерната врска меѓу два peer-а со познати краеви може да има одредиште на едната страна, на двете страни или на ниту една, зависно од тоа која страна иницира.

Лепењето фиксна клиентска адреса во општа порта е грешката што произлегува од игнорирање на тие категории. Работи за единствениот peer чија адреса е забележана и ги заведува сите останати.

Ништо во директивата не претвора конфигурација во сервер со многу клиенти, а ништо во нејзиното присуство не спречува серверска улога. Референцата за OpenVPN 2.6 одделно ги документира опционалните аргументи и однесувањето без remote, што е навестување колку се независни.

Транспортните улоги се друга оска

Кај TCP едната страна чека, а другата ѕвони. Тоа се одделни директиви од одредиштето, а нивното мешање дава пар во кој или двете чекаат или двете ѕвонат.

Постои и улога на TCP филтер на извор, поради што рамното тврдење дека серверот никогаш не смее да содржи remote е погрешно.

Кај UDP нема врска што треба да се воспостави, па двата краја го користат соодветниот UDP транспорт и директивата само кажува каде да се нишани. Промените на адресата од автентициран peer ги обработува посебно однесување, а не додавање повеќе записи. Точниот транспорт е предуслов одредиштето да значи нешто, а мешањето на двете создава конфигурации што изгледаат уверливо и никогаш не завршуваат ракување.

Зошто отсутен remote не е отворена врата

Процесот без одредиште сепак одбива сообраќај од peer-ови што не се автентицираат, и тоа е делот што луѓето го пропуштаат кога отсутната линија ја читаат како слушач отворен за секого.

Автентикацијата и одредиштето се независни, а првото е она што е важно за довербата.

Обратната грешка е поопасна. Фиксната изворна адреса може да изгледа како контрола на пристап затоа што е конкретна и лесна за проверка, но не докажува ништо за тоа кој е на другиот крај. Задржете ја проверката на сертификати и проверките на идентитет што сертификатот го врзуваат за неговата улога. Нивната замена со совпаѓање на адреса разменува вистинска контрола за нејзиниот изглед.

Запишете што претпоставува конфигурацијата

За секоја страна запишете три нешта: како првиот пакет стигнува до peer-от, која страна може да го прифати транспортот и што проверува секоја страна за другата.

Тие претпоставки се дизајнот. Директивите се само нивниот правопис.

Ако двата фајла се разликуваат, проверете дали изразуваат различни претпоставки наместо да претпоставите дека едниот е погрешен. Симетричен пар фајлови не е ни потребен ни доволен за тунел што работи, а асиметријата често е делот што ја прави топологијата функционална.