Adakah setiap peer OpenVPN perlu baris remote? Tidak juga

Dua konfigurasi peer dibandingkan sebelah menyebelah, satu mempunyai baris remote dan satu lagi tidak, dan kesimpulannya ialah salah satunya rosak. Kesimpulan itu cukup kerap salah sehingga wajar dikupas. Arahan ini menerangkan ke mana paket pertama harus dihantar. Ia tidak memilih sama ada proses bertindak sebagai klien yang memulakan atau sebagai gerbang yang menunggu, dan ia tidak menentukan pihak mana yang membuktikan identitinya kepada yang lain.

Apa yang sebenarnya ditentukan remote

Entri remote menamakan hos, secara pilihan port dan pengangkutan, dan secara pilihan beberapa entri sedemikian untuk dicuba mengikut urutan.

Ketidakhadirannya mempunyai makna yang ditentukan dan bukan tidak tentu: proses menunggu dan tidak bertindak ke atas paket daripada sesuatu alamat melainkan peer itu mengesahkan identiti. Oleh itu gerbang yang melayani pengguna merayau tidak mempunyai sebab untuk menamakan mana-mana daripada mereka terlebih dahulu.

Baca entri itu sebagai hubungan alamat. Sama ada hujung jauh dipercayai dijawab oleh sijil dan pilihan pengesahan, bukan oleh fakta bahawa sesuatu alamat telah ditulis.

Tiga susunan menentukan jawapannya

Klien merayau memerlukan destinasi, kerana ia mesti memulakan dan tanpa itu ia tidak tahu di mana gerbang berada. Gerbang berbilang klien tidak memerlukan destinasi bagi setiap pengguna, kerana klien datang dan mengesahkan identiti. Pautan dua peer yang disengajakan dengan hujung yang diketahui boleh mempunyai destinasi di satu pihak, kedua-dua pihak atau tiada langsung, bergantung pada pihak mana yang memulakan.

Menampal alamat klien tetap ke dalam gerbang umum ialah kesilapan yang timbul daripada mengabaikan kategori tersebut. Ia berkesan untuk satu-satunya peer yang alamatnya direkodkan dan mengelirukan semua yang lain.

Tiada apa-apa dalam arahan ini menjadikan konfigurasi sebagai pelayan berbilang klien, dan tiada apa-apa dalam kehadirannya menghalang peranan pelayan. Rujukan OpenVPN 2.6 mendokumentasikan argumen pilihan dan tingkah laku tanpa remote secara berasingan, yang merupakan petunjuk tentang betapa bebasnya kedua-duanya.

Peranan pengangkutan ialah paksi lain

Dalam TCP, satu pihak menunggu dan pihak yang lain mendail. Itu arahan berasingan daripada destinasi, dan mencampurkannya menghasilkan pasangan yang kedua-duanya menunggu atau kedua-duanya mendail.

Terdapat juga peranan penapis sumber TCP, sebab itulah kenyataan rata bahawa pelayan tidak boleh mengandungi remote adalah salah.

Dalam UDP tiada sambungan untuk diwujudkan, jadi kedua-dua hujung menggunakan pengangkutan UDP yang sepadan dan arahan itu hanya menyatakan ke mana hendak dibidik. Perubahan alamat oleh peer yang disahkan dikendalikan oleh tingkah laku khusus dan bukan dengan menambah lebih banyak entri. Pengangkutan yang betul ialah prasyarat agar destinasi bermakna, dan mencampurkan kedua-duanya menghasilkan konfigurasi yang kelihatan munasabah dan tidak pernah melengkapkan jabat tangan.

Mengapa remote yang tiada bukan pintu terbuka

Proses tanpa destinasi tetap menolak trafik daripada peer yang tidak mengesahkan identiti, dan itulah bahagian yang orang terlepas apabila membaca baris yang tiada sebagai pendengar terbuka kepada sesiapa.

Pengesahan identiti dan destinasi adalah bebas, dan yang pertama itulah yang penting untuk kepercayaan.

Kesilapan sebaliknya lebih berbahaya. Alamat sumber tetap boleh terasa seperti kawalan akses kerana ia khusus dan mudah diperiksa, tetapi ia tidak membuktikan apa-apa tentang siapa yang berada di hujung yang lain. Kekalkan pengesahan sijil, dan kekalkan pemeriksaan identiti yang mengikat sijil kepada peranannya. Menggantikannya dengan padanan alamat menukar kawalan sebenar dengan penampilannya.

Tuliskan apa yang diandaikan oleh konfigurasi

Bagi setiap pihak, catat tiga perkara: bagaimana paket pertama sampai kepada peer, pihak mana yang boleh menerima pengangkutan, dan apa yang disahkan oleh setiap pihak tentang pihak yang lain.

Andaian itu ialah reka bentuknya. Arahan hanyalah ejaannya.

Jika kedua-dua fail berbeza, periksa sama ada keduanya menyatakan andaian yang berbeza dan bukannya menganggap salah satunya salah. Pasangan fail simetri bukanlah perlu dan bukanlah mencukupi untuk terowong yang berfungsi, dan asimetri selalunya bahagian yang menjadikan topologi berfungsi.