Хоёр узлын хоорондын OpenVPN холболтод статик түлхүүр үү, эсвэл TLS уу?

Зөвхөн бие биетэйгээ л ярьдаг хоёр машин энэ топологийг хадгалахын зэрэгцээ тохиролцсон трафикийн түлхүүрүүдийг авч чадна. Сүлжээний хэлбэр болон хамгаалалтын горим нь бие даасан сонголт бөгөөд тэдгээрийг хольж хутгах нь хүмүүсийг хоёр демон ажиллаж байх хооронд файлыг сольж статик нууцыг эргүүлэхийг оролдуулах шалтгаан болдог. Ажиллаж байгаа хосын дор түлхүүрийн файлыг солих нь юу ч эргүүлэхгүй. OpenVPN 2.6 хуучирсан гэж тэмдэглэсэн статик түлхүүрийн горим нь туннелийн бүх насны туршид нэг түлхүүр барьдаг тул диск дээрх файл болон санах ой дахь түлхүүр хоёр төгсгөл дахин эхлэсний дараа л дахин таарна. Хэрэв автомат шинэчлэлт шаардлага бол хамгаалалтын горим өөрчлөгдөх ёстой.

Статик түлхүүрийн горим юу хийж чадахгүй вэ

Нууц горимд хоёр узел туннелийг шууд шифрлэж, баталгаажуулдаг урьдчилан хуваалцсан түлхүүрийг хуваалцдаг. Гар барилт байхгүй тул аль ч талд шинэ түлхүүрийн материал санал болгох, хэн болохоо батлах эсвэл операторын оролцоогүйгээр зөрүүнээс гарах механизм байхгүй. Хоёр шинж чанар нь дутуу сонголтоос бус, удирдлагын сувгийн байхгүйгээс үүдэлтэй бөгөөд ямар ч тохиргооны туг энэ горимд нэгийг нь нэмэхгүй.

OpenVPN 2.6 гарын авлага шинэ түлхүүр үүсэх хүртэл түлхүүр хадгалагдана гэдгийг тодорхой хэлдэг. Энэ нь лабораторийн холболт эсвэл баримтжуулсан эргүүлэх журамтай тогтмол төхөөрөмжийн хосын хувьд хүлээн зөвшөөрөгдөх бөгөөд урт хугацааны нууц бодит эрсдэл болох газарт хүлээн зөвшөөрөхгүй. Файлыг солих нь ажиллаж байгаа хосд шинэ түлхүүр үүсгэхгүй; энэ нь зөрчилдөж буй хоёр узел үүсгэдэг. Тиймээс файлыг солих нь эргэлт нэмэхгүйгээр тасалдал нэмдэг.

Мөн файлыг эзэмшихээс гадна узелын таних тэмдэг гэсэн ойлголт байхгүй. Түлхүүртэй хэн ч узел бөгөөд туннельд аль тал аль нь болохыг юу ч бүртгэдэггүй тул хүчингүй болгох нь бүгд эсвэл юу ч биш.

Холболтыг дахин зохион бүтээхгүйгээр TLS-д шилжих

TLS горим нь удирдлагын суваг, түүнтэй хамт өгөгдлийн сувгийн түлхүүрүүдийг тохиролцох чадварыг нэмдэг. Цэгээс цэг хүртэлх байршуулалтад нэг тал серверийн үүрэг, нөгөө тал клиентийн үүргийг авдаг боловч топологи нь хоёр узлын хоорондын холболт хэвээр байна: тал бүр нөгөөгийнхөө төгсгөлийн цэгийг мэддэг бөгөөд ямар ч пул эсвэл олон хэрэглэгчийн үйлчилгээ үүсэхгүй. Үүргүүд нь гар барилтын дэлгэрэнгүй мэдээлэл, шинэ архитектур биш.

Машин бүрт өөрийн таних тэмдгийг өг. Тал бүрт гэрчилгээ болон хувийн түлхүүр, нөгөөг баталгаажуулах итгэлийн зангуу, хэнийг хүлээж байгааг нэрлэсэн узелын шалгалтын дүрэм хэрэгтэй. Цаг хэмнэхийн тулд нэг узелын хувийн түлхүүрийг нөгөөд дахин бүү ашигла; энэ нь хоёр таних тэмдгийг нэг болгож, аль ч талыг тусад нь хүчингүй болгох боломжийг хасдаг. Бүртгэл нь үүнийг зөв хийх газар, учир нь дараа засах нь гэрчилгээг дахин гаргахыг хэлнэ.

Хамгаалалт өөрчлөгдөх хооронд сүлжээний гэрээг өөрчлөлгүй барина уу. Ижил туннелийн хаяг, маршрут, зөвшөөрөгдсөн үйлчилгээнүүд өмнө болон дараа үйлчлэх ёстой тул шилжилтийн үеийн алдаа нь далдлагдсан чиглүүлэлтийн гэнэтийн зүйл бус, хамгаалалтын асуудал болно. Өөрчлөлтийн өмнө хаяг, маршрутуудыг бичиж аваарай; дараа нь харьцуулах нь санах ойгоос дахин бүтээхээс хурдан.

Зарим байршуулалт удирдлагын сувгийг өгөгдлийн сувагтай хамт эргэдэггүй өөрийн статик түлхүүрээр хамгаалдаг. Тэр түлхүүр нь ачааг бус гар барилтыг хамгаалдаг тул түүний алдагдал трафикийг бус хэлэлцээрийг ил болгоно. Үүнийг өгөгдлийн сувгийн материалаас тусдаа хадгалж, эзэн нь нэрлэгдсэн хүн байх солих огноо өг. Үүнийг эргүүлэх нь хоёр узелыг зохицуулсан цонхонд дахин эхлүүлэхийг хэлнэ, тиймээс энэ нь санах ойгоос илүү хуанлийн бичлэгт хүртэх ёстой.

Хэн юуг, хэзээ шинэчлэх вэ

TLS горимд шинэчлэлтийг тохируулсан хязгаарууд удирддаг: хугацааны интервал, байтын тоо эсвэл пакетийн тоо. Баримтжуулсан цаг хугацааны хяналт нь ихэнх байршуулалтын найрдаг зүйл бөгөөд хоёр узлын дундах бага үр дүнтэй утга нь солилтыг эхлүүлж чаддаг тул зөвхөн нэг талд нэмэгдүүлэх нь үйл явдлыг саатуулахгүй. Эзлэхүүнд суурилсан хязгаарууд байдаг шалтгаан нь завгүй холболт цагаас хамаагүй өмнө түлхүүрийг дуусгаж болох юм. Аль ч хязгаар нь эрүүл мэндийн шалгалт биш бөгөөд аль нь ч шинэчлэлт амжилттай болсныг хэлэхгүй.

Тиймээс давтагдах дахин хэлэлцээрийг нэг тохиргооны файлаас оношлох нь төөрөгдүүлдэг. Хоёр узлын тохиргоог уншаад, алдаа гэж таамаглахын оронд лог дахь шилжилтийг хар. Цэвэр дуусах шинэчлэлт нь салгалт биш, удирдлагын сувгийн трафикийн богино тэсрэлт мэт харагдана.

Объектуудыг толгой дотроо тусад нь барь. Гэрчилгээ нь урт хугацааны таних тэмдгийг баталж, таны хянадаг хуваарийн дагуу солигддог. Өгөгдлийн сувгийн түлхүүр автоматаар шинэчлэгддэг бөгөөд байршуулалт шаардвал тусдаа баталгаажуулалтын солилцоо нь дансны бодлогыг дагаж, дараагийн солилцоонд өөрийн тохиргоо шаардаж болно.

Интервалыг тэг болгож шинэчлэлтийг бүрэн унтраах нь чимээтэй логын шийдэл биш. Энэ нь эрүүл амьдралын мөчлөгийн үйл явдлыг байнгын түлхүүр болгож хувиргадаг бөгөөд энэ нь таны орхихыг оролдсон шинж чанар руу буцаана.

Өөрчлөлтийг хүлээн авах

Шинэ тохиргоог суулгасан хувилбарын дэмжигдсэн жишээнээс бүтээ, алгоритм, файлын зам нь өөр газраас өвлөгдсөн хуучин хамгийн бага хэсгээс биш. Хоёр узел хамт өөрчлөгдөхөөр сэлгэлтийг зохицуулж, нэг тал босч чадахгүй бол зөвшөөрөгдсөн сэргээх зам хадгал. Буцаалтыг туршихын тулд тасалдал хүлээхийн оронд холболтыг санаатайгаар буулга. Дадлага хийсэн буцаалт тайлбарласнаас илүү үнэ цэнэтэй.

Гурван зүйлийг шалга: анхны таних тэмдгийн баталгаажуулалт амжилттай, зорьсон програмын урсгал ажиллаж байна, хяналттай шинэчлэлт трафик алдалгүй явагдаж байна. Дараа нь лог дахь шилжилтийг энэ нь үнэхээр юу баталж байгаагаар нь унш: шинэ түлхүүрийн танигч нь узлууд солилтыг дуусгасан гэсэн үг, туннель дахин холбогдсон гэсэн үг биш. Үүнийг нэг алхмын нотолгоо гэж үзэж, шилжилтийг дууссан гэж зарлахаас өмнө трафикийн тоолуурыг шалга.

Тэг тасалдалтын амлалт нуух зүйл бол таны хараахан хараагүй алдаа юм. Бүтэлгүйтсэн шинэчлэлт, хугацаа дуусах гэрчилгээ эсвэл замын гэмтэл холболтыг одоо ч алдагдуулж болох бөгөөд цэвэр туршилтаар тэдгээрийн аль нь ч хасагдахгүй. Зохион бүтээх үнэ цэнэтэй шинж чанар нь илүү нарийн, илүү ашигтай: ердийн түлхүүр солилт гар аргаар файл солих байхаа болино.