स्थिर-की OpenVPN दुवा अनेक क्लायंटना सेवा देऊ शकतो का?

स्थिर-की मोड नेमके दोन समवयस्क जोडतो, आणि तो त्याचा आराखडा आहे, कोणी विसरून न काढलेली मर्यादा नाही। client-to-client सर्व्हर मोडचा फॉरवर्डिंग पर्याय आहे, म्हणून तो --secret कॉन्फिगरेशनमध्ये जोडल्याने किती क्लायंट जोडू शकतात यात काहीही बदलत नाही। निर्णय कोणता फ्लॅग जोडावा हा नाही, तर तैनातीला पॉइंट-टू-पॉइंट दुवा हवा की बहु-क्लायंट सेवा हवी हा आहे। अनेक उपकरणांनी स्वतंत्रपणे जोडले पाहिजे असल्यास संरक्षण मोड बदलतो आणि प्रत्येक उपकरणाला ओळख मिळते।

दोन समवयस्क, एक की आणि प्रत्येक क्लायंटसाठी कोणतीही स्थिती नाही: तोच आकार या मोडची संपूर्ण कथा आहे।

स्थिर-की मोड कशासाठी आहे

गुप्त मोडमध्ये दोन्ही समवयस्क एक की फाइल सामायिक करतात आणि ती की रहदारीचे थेट संरक्षण करते। हस्तांदोलन नाही, प्रमाणपत्रांची देवघेव नाही आणि प्रत्येक क्लायंटसाठी सत्र नाही, कारण सर्व्हरच्या अर्थाने क्लायंट नाहीत, फक्त दोन टोकाचे बिंदू आहेत।

नोंदवलेल्या की फिरतीच्या प्रक्रियेसह ठराविक मशीन जोडीसाठी हा मोड उपयुक्त राहतो, आणि OpenVPN 2.6 त्याला कालबाह्य म्हणून चिन्हांकित करतो कारण TLS मोड ती प्रकरणे अधिक चांगल्या गुणधर्मांसह व्यापतो। जे करू शकत नाही ते म्हणजे जोडणारे एक उपकरण दुसऱ्यापासून वेगळे ओळखणे, कारण फाइलचा ताबा ही संपूर्ण प्रमाणीकरणाची कथा आहे। तिसरे उपकरण जोडणे म्हणजे त्याच्याशी तीच की सामायिक करणे, त्यानंतर पहिले दोन त्याला स्वतःपासून वेगळे ओळखू शकत नाहीत।

म्हणूनच दोन-समवयस्क मर्यादा संरचनात्मक आहे, बदलता येणारी सेटिंग नाही।

client-to-client गहाळ तुकडा का नाही

client-to-client जोडलेले क्लायंट सर्व्हरमार्फत रहदारीची देवघेव करू शकतात का हे नियंत्रित करतो। तो क्लायंटना प्रवेश देत नाही, ओळख देत नाही आणि कॉन्फिगर न केलेला सर्व्हर मोड तयार करत नाही, आणि स्थिर-की कॉन्फिगरेशनमध्ये त्याला सांभाळण्यासाठी क्लायंट यादी नसते।

दुसरा सामान्य गोंधळ tls-crypt किंवा tls-auth सामग्रीशी संबंधित आहे। TLS सर्व्हर त्या कींपैकी एक सर्व क्लायंटमध्ये सामायिक करू शकतो, कारण तो प्रत्येक क्लायंट कोण आहे हे सिद्ध करण्याऐवजी नियंत्रण चॅनेलचे संरक्षण करतो। TLS मोडमधील सामायिक नियंत्रण-चॅनेल की सामायिक स्थिर डेटा कीपेक्षा वेगळी वस्तू आहे, दोन्ही सारख्या दिसणाऱ्या फाइल्स म्हणून आल्या तरी।

मोडमधील निवड दोन प्रश्नांवर येते। एकाहून अधिक उपकरणांनी स्वतंत्रपणे जोडले पाहिजे का, आणि तैनातीला प्रत्येक उपकरणासाठी रद्द करणे हवे का? दोन्हींना नाही असेल तर स्थिर-की मोड टिकतो; यापैकी कशालाही होय असेल तर ते TLS कडे निर्देश करते। स्वतःच्या ओळखीशिवाय दुसऱ्या क्लायंटला प्रवेश दिला जाणारा तिसरा पर्याय नाही।

बहु-क्लायंट सर्व्हर उभारणे

बहु-क्लायंट सर्व्हरला TLS मोड, सर्व्हर बाजूचे प्रमाणपत्र आणि प्रत्येक क्लायंटसाठी ओळख आवश्यक आहे। सर्व्हर सहाय्यक पत्ता तलाव आणि बहु-क्लायंट मोड सेट करतो, परंतु TLS कॉन्फिगरेशन, विश्वास आधार किंवा प्रवेश अर्थपूर्ण करणारी क्लायंट प्रमाणपत्रे देत नाही।

एका क्लायंटची ओळखपत्रे कॉपी करण्याऐवजी विद्यमान प्रमाणपत्र प्राधिकरणामार्फत प्रत्येक उपकरणाची नोंदणी करा। वेगळ्या ओळखीमुळेच रद्द करणे, प्रत्येक क्लायंटसाठी मार्गनिर्देशन आणि उपयुक्त लॉग शक्य होतात, आणि एक सामायिक क्लायंट प्रमाणपत्र तिन्हींचा ढासळवते।

तैनाती वापरकर्त्यांचे प्रमाणीकरण बाह्य निर्देशिका किंवा दुसऱ्या घटकाद्वारे करत असल्यास तो आराखडा तसाच राहतो। TLS सर्व्हर मोडकडे जाणे हे समवयस्क टनेल स्तरावर स्वतःला कसे सिद्ध करतात हे ठरवते आणि खाते बॅकएंड ठरवत नाही। दोन्ही निर्णय वेगळे ठेवा जेणेकरून एकातील बदल दुसऱ्याला शांतपणे बदलणार नाही।

मग फॉरवर्डिंग धोरण जाणीवपूर्वक ठरवा। client-to-client वापरकर्ता-जागेतील सर्व्हर मार्गात क्लायंट-ते-क्लायंट रहदारी सक्षम करतो, जी अनेक तैनातींना हवी असते आणि काहींना नसावी। हा धोरण स्विच आहे, ओळख यंत्रणा नाही, आणि ट्युटोरियलमध्ये असल्यामुळे नाही, आराखड्याला आवश्यक असल्यामुळे तो सुरू करावा।

क्लायंट खरोखर स्वतंत्र आहेत का याची तपासणी

दोन क्लायंट जोडा आणि त्यांना वेगवेगळे पत्ते मिळतात आणि सर्व्हरच्या लॉगमध्ये वेगवेगळ्या ओळखींसह दिसतात याची खात्री करा। नंतर एक रद्द करा आणि दुसरा कार्यरत राहतो याची खात्री करा, ही ओळखी सामायिक झाल्या नाहीत याची व्यावहारिक चाचणी आहे।

अनुमत समवयस्क-ते-समवयस्क सेवा आणि अवरोधित राहिली पाहिजे अशी सेवा तपासा। दोन यशस्वी लॉगिन प्रवेश सिद्ध करतात, वेगळेपण नाही, आणि तैनातीने वापरकर्ता गट वेगळे करायचे असतील तेव्हा हा फरक महत्त्वाचा आहे।

शेवटी, सर्व्हर मोड स्मरणातून नाही तर चालू कॉन्फिगरेशनमधून वाचा। अतिरिक्त पर्यायांसह स्थिर-की कॉन्फिगरेशन अजूनही पॉइंट-टू-पॉइंट दुवा आहे, आणि योग्य TLS सर्व्हर हीच अशी एकमेव मांडणी आहे ज्यात अनेक क्लायंट खरोखर वेगळे समवयस्क असतात।

लॉग प्रत्येक उपकरणासाठी एकच सामाईक नाव दाखवत असेल तर समस्या मोड नाही। समस्या नोंदणी प्रक्रिया आहे।