Статик түлхүүртэй OpenVPN холбоос олон клиентэд үйлчилж чадах уу?

Статик түлхүүрийн горим яг хоёр тэгш түншийг холбодог бөгөөд энэ нь түүний загвар, хэн нэгэн цуцлахаа мартсан хязгаарлалт биш. client-to-client нь серверийн горимын дамжуулалтын сонголт тул үүнийг --secret тохиргоонд нэмэх нь хэдэн клиент холбогдох боломжтойд юу ч өөрчлөхгүй. Шийдвэр нь ямар тугийг нэмэх биш, харин байршуулалтад цэгээс цэг рүү холбоос эсвэл олон клиенттэй үйлчилгээ хэрэгтэй эсэх юм. Хэд хэдэн төхөөрөмж бие даан холбогдох шаардлагатай бол хамгаалалтын горим өөрчлөгдөж, төхөөрөмж бүр таних мэдээлэл авна.

Хоёр түнш, нэг түлхүүр, клиент бүрт ямар ч төлөв байхгүй: энэ хэлбэр нь горимын бүх түүх.

Статик түлхүүрийн горим юунд зориулагдсан

Нууц горимд хоёр түнш нэг түлхүүрийн файлыг хуваалцаж, тэр түлхүүр трафикийг шууд хамгаална. Барилдаан, гэрчилгээ солилцох, клиент бүрийн сесс байхгүй, учир нь серверийн утгаар клиент байхгүй, зөвхөн хоёр төгсгөлийн цэг байна.

Энэ горим түлхүүр солилцох баримтжуулсан процесс бүхий тогтмол хос машинд ашигтай хэвээр байх бөгөөд OpenVPN 2.6 үүнийг яг TLS горим эдгээр тохиолдлыг илүү сайн шинж чанараар хамрах учраас хуучирсан гэж тэмдэглэдэг. Хийж чадахгүй зүйл нь холбогдож буй нэг төхөөрөмжийг нөгөөгөөс ялгах бөгөөд файлыг эзэмших нь баталгаажуулалтын бүх түүх юм. Гурав дахь төхөөрөмж нэмэх нь түүнтэй ижил түлхүүрийг хуваалцах гэсэн үг бөгөөд дараа нь эхний хоёр нь түүнийг өөрсдөөс нь ялгаж чадахгүй.

Тиймээс хоёр түншийн хязгаар нь бүтцийн шинжтэй, өөрчилж болох тохиргоо биш.

Яагаад client-to-client дутуу хэсэг биш вэ

client-to-client нь холбогдсон клиентүүд серверээр дамжуулан трафик солилцож болох эсэхийг удирддаг. Энэ нь клиент хүлээн авахгүй, таних мэдээлэл олгохгүй, тохируулаагүй серверийн горим үүсгэхгүй бөгөөд статик түлхүүрийн тохиргоонд түүний удирдах клиентийн жагсаалт байхгүй.

Өөр нэг түгээмэл будлиан нь tls-crypt эсвэл tls-auth материалтай холбоотой. TLS сервер нь тэдгээр түлхүүрийн аль нэгийг бүх клиентүүдийн дунд хуваалцаж чадна, учир нь энэ нь клиент бүр хэн болохыг батлахын оронд хяналтын сувгийг хамгаалдаг. TLS горим дахь хуваалцсан хяналтын сувгийн түлхүүр нь хуваалцсан статик өгөгдлийн түлхүүрээс өөр объект боловч хоёулаа ижил төстэй файл хэлбэрээр ирдэг.

Горимуудын хоорондын сонголт хоёр асуулт руу буцдаг. Нэгээс олон төхөөрөмж бие даан холбогдох шаардлагатай юу, байршуулалтад төхөөрөмж бүрийн цуцлалт хэрэгтэй юу? Хоёуланд нь үгүй бол статик түлхүүрийн горим амьдрах чадвартай хэвээр; аль нэгэнд нь тийм бол TLS руу заана. Өөрийн таних мэдээлэлгүйгээр хоёр дахь клиентийг хүлээн авах гурав дахь сонголт байхгүй.

Олон клиенттэй серверийг бүтээх

Олон клиенттэй серверт TLS горим, серверийн талын гэрчилгээ, клиент бүрийн таних мэдээлэл хэрэгтэй. Серверийн туслах хаягийн сан ба олон клиенттэй горимыг тохируулдаг ч TLS тохиргоо, итгэлийн зангуу эсвэл хүлээн авалтыг утга учиртай болгодог клиентийн гэрчилгээг өгдөггүй.

Нэг клиентийн итгэмжлэлийг хуулахын оронд одоо байгаа гэрчилгээний байгууллагаар дамжуулан төхөөрөмж бүрийг бүртгүүлээрэй. Яг өөр өөр таних мэдээлэл нь цуцлалт, клиент бүрийн маршрутлалт, ашигтай лог боломжтой болгодог бөгөөд нэг хуваалцсан клиентийн гэрчилгээ гурвыг нь нураана.

Хэрэв байршуулалт хэрэглэгчдийг гадаад лавлах эсвэл хоёр дахь хүчин зүйлээр баталгаажуулдаг бол тэр загвар хэвээрээ үлдэнэ. TLS серверийн горим руу шилжих нь түншүүд туннелийн давхаргад хэрхэн өөрсдийгөө батлахыг шийддэг бөгөөд бүртгэлийн арын хэсгийг зааварладаггүй. Хоёр шийдвэрийг тусдаа байлгаснаар нэг дэх өөрчлөлт нөгөөг чимээгүй өөрчлөхгүй.

Дараа нь дамжуулалтын бодлогыг санаатайгаар шийдээрэй. client-to-client хэрэглэгчийн огторгуйн серверийн замд клиент хоорондын трафикийг идэвхжүүлдэг бөгөөд олон байршуулалт үүнийг хүсдэг, заримд нь байх ёсгүй. Энэ нь бодлогын унтраалга, таних мэдээллийн механизм биш бөгөөд зааварт байсан учраас биш, загвар шаарддаг учраас асаах ёстой.

Клиентүүд үнэхээр бие даасан эсэхийг шалгах

Хоёр клиентийг холбож, тэд өөр өөр хаяг авч, серверийн логт өөр өөр таних мэдээлэлтэй гарч байгааг баталгаажуулаарай. Дараа нь нэгийг цуцалж, нөгөө нь ажилласаар байгааг баталгаажуулаарай, энэ нь таних мэдээлэл хуваалцаагүйг батлах практик шалгалт.

Зөвшөөрөгдсөн түнш хоорондын үйлчилгээ болон хаалттай үлдэх ёстой үйлчилгээг туршаарай. Хоёр амжилттай нэвтрэлт нь хүлээн авалтыг баталдаг, тусгаарлалтыг биш, байршуулалт хэрэглэгчийн бүлгүүдийг тусгаарлах ёстой үед энэ ялгаа чухал.

Эцэст нь серверийн горимыг санах ойгоос биш, ажиллаж буй тохиргооноос уншаарай. Нэмэлт сонголттой статик түлхүүрийн тохиргоо цэгээс цэг рүү холбоос хэвээр бөгөөд зөв TLS сервер л олон клиент үнэхээр тусдаа түнш байх цорын ганц зохион байгуулалт.

Хэрэв лог төхөөрөмж бүрт нэг нийтлэг нэрийг харуулж байвал асуудал горимд биш. Асуудал бүртгэлийн процессд.