Bolehkah pautan OpenVPN dengan kunci statik melayani beberapa klien?

Mod kunci statik menyambungkan tepat dua rakan setara, dan itulah reka bentuknya, bukan had yang seseorang terlupa untuk angkat. client-to-client ialah pilihan penghantaran mod pelayan, jadi menambahnya pada konfigurasi --secret tidak mengubah berapa banyak klien boleh bersambung. Keputusannya bukan bendera mana yang ditambah, tetapi sama ada penggunaan memerlukan pautan titik-ke-titik atau perkhidmatan berbilang klien. Jika beberapa peranti mesti bersambung secara bebas, mod perlindungan berubah dan setiap peranti mendapat identiti.

Dua rakan setara, satu kunci dan tiada keadaan bagi setiap klien: bentuk itulah seluruh kisah mod ini.

Untuk apa mod kunci statik

Dalam mod rahsia kedua-dua rakan setara berkongsi satu fail kunci, dan kunci itu melindungi trafik secara langsung. Tiada jabat tangan, tiada pertukaran sijil dan tiada sesi bagi setiap klien, kerana tiada klien dalam erti pelayan, hanya dua titik hujung.

Mod ini kekal berguna untuk pasangan mesin tetap dengan proses putaran kunci yang didokumenkan, dan OpenVPN 2.6 menandakannya sebagai usang semata-mata kerana mod TLS meliputi kes-kes itu dengan sifat yang lebih baik. Apa yang tidak boleh dilakukannya ialah membezakan satu peranti yang bersambung daripada yang lain, kerana pemilikan fail itu adalah seluruh kisah pengesahan. Menambah peranti ketiga bermakna berkongsi kunci yang sama dengannya, selepas itu dua yang pertama tidak lagi dapat membezakannya daripada diri mereka sendiri.

Itulah sebabnya had dua rakan setara bersifat struktur dan bukan tetapan yang boleh diubah.

Mengapa client-to-client bukan bahagian yang hilang

client-to-client mengawal sama ada klien yang bersambung boleh bertukar trafik melalui pelayan. Ia tidak menerima klien, tidak memberikan identiti dan tidak mencipta mod pelayan yang tidak dikonfigurasikan, dan dalam konfigurasi kunci statik tiada senarai klien untuknya tadbir.

Kekeliruan biasa yang lain melibatkan bahan tls-crypt atau tls-auth. Pelayan TLS boleh berkongsi salah satu kunci itu merentas semua klien, kerana ia melindungi saluran kawalan dan bukannya membuktikan siapa setiap klien. Kunci saluran kawalan yang dikongsi dalam mod TLS ialah objek berbeza daripada kunci data statik yang dikongsi, walaupun kedua-duanya tiba sebagai fail yang kelihatan serupa.

Pilihan antara mod berbalik kepada dua soalan. Adakah lebih daripada satu peranti perlu bersambung secara bebas, dan adakah penggunaan memerlukan pembatalan bagi setiap peranti? Tidak pada kedua-duanya mengekalkan mod kunci statik berdaya maju; ya pada mana-mana satu daripadanya menunjuk ke TLS. Tiada pilihan ketiga di mana klien kedua diterima tanpa identitinya sendiri.

Membina pelayan berbilang klien

Pelayan berbilang klien memerlukan mod TLS, sijil sebelah pelayan dan identiti bagi setiap klien. Pembantu pelayan menyediakan kolam alamat dan mod berbilang klien, tetapi ia tidak menyediakan konfigurasi TLS, sauh kepercayaan atau sijil klien yang menjadikan penerimaan bermakna.

Daftarkan setiap peranti melalui pihak berkuasa sijil yang sedia ada dan bukannya menyalin kelayakan seorang klien. Identiti yang berbeza itulah yang memungkinkan pembatalan, penghalaan bagi setiap klien dan log yang berguna, dan satu sijil klien yang dikongsi meruntuhkan ketiga-tiganya.

Jika penggunaan mengesahkan pengguna melalui direktori luaran atau faktor kedua, reka bentuk itu kekal seperti adanya. Peralihan kepada mod pelayan TLS menentukan bagaimana rakan setara membuktikan diri pada lapisan terowong, dan ia tidak menentukan bahagian belakang akaun. Kekalkan kedua-dua keputusan berasingan supaya perubahan pada satu tidak mengubah yang lain secara senyap.

Kemudian tentukan dasar penghantaran dengan sengaja. client-to-client membolehkan trafik antara klien dalam laluan pelayan ruang pengguna, yang diinginkan banyak penggunaan dan tidak boleh dimiliki sesetengahnya. Ia suis dasar, bukan mekanisme identiti, dan ia patut dihidupkan kerana reka bentuk memerlukannya, bukan kerana tutorial memasukkannya.

Menyemak bahawa klien benar-benar bebas

Sambungkan dua klien dan pastikan mereka menerima alamat berbeza dan muncul dengan identiti berbeza dalam log pelayan. Kemudian batalkan satu dan pastikan yang lain terus berfungsi, yang merupakan ujian praktikal bahawa identiti tidak dikongsi.

Uji perkhidmatan yang dibenarkan antara rakan setara dan satu yang mesti kekal disekat. Dua log masuk berjaya membuktikan penerimaan, bukan pengasingan, dan perbezaannya penting apabila penggunaan sepatutnya memisahkan kumpulan pengguna.

Akhir sekali, baca mod pelayan daripada konfigurasi yang berjalan dan bukan daripada ingatan. Konfigurasi kunci statik dengan pilihan tambahan masih pautan titik-ke-titik, dan pelayan TLS yang betul ialah satu-satunya susunan di mana beberapa klien benar-benar rakan setara yang berasingan.

Jika log menunjukkan satu nama biasa bagi setiap peranti, masalahnya bukan mod. Masalahnya ialah proses pendaftaran.