Kunci statik atau TLS untuk pautan OpenVPN antara dua rakan sebaya?

Dua mesin yang hanya bercakap sesama sendiri boleh mengekalkan topologi itu dan masih memperoleh kunci trafik yang dirundingkan. Bentuk rangkaian dan mod perlindungan ialah pilihan yang bebas, dan mencampuradukkan keduanya itulah yang membuat orang cuba memutar rahsia statik dengan menukar fail sementara kedua-dua daemon terus berjalan. Menukar fail kunci di bawah pasangan yang berjalan tidak memutar apa-apa. Mod kunci statik, yang ditandakan OpenVPN 2.6 sebagai usang, menyimpan satu kunci sepanjang hayat terowong, jadi fail pada cakera dan kunci dalam memori hanya sepadan semula selepas kedua-dua hujung dimulakan semula. Jika pembaharuan automatik ialah keperluan, mod perlindungan mesti berubah.

Apa yang tidak boleh dilakukan oleh mod kunci statik

Dalam mod rahsia, kedua-dua rakan sebaya berkongsi kunci yang telah dikongsi terlebih dahulu yang menyulitkan dan mengesahkan terowong secara langsung. Tiada jabat tangan, jadi tiada mekanisme bagi mana-mana pihak untuk mencadangkan bahan kunci baharu, membuktikan identiti atau pulih daripada ketidakpadanan tanpa campur tangan pengendali. Kedua-dua sifat itu berpunca daripada ketiadaan saluran kawalan, bukan daripada pilihan yang hilang, dan tiada bendera konfigurasi menambahkannya pada mod ini.

Manual OpenVPN 2.6 menyatakan dengan jelas bahawa kunci kekal sehingga kunci baharu dijana. Itu boleh diterima untuk pautan makmal atau pasangan peranti tetap dengan prosedur putaran yang didokumenkan, dan tidak boleh diterima di mana-mana sahaja rahsia berumur panjang merupakan risiko sebenar. Pertukaran fail tidak mencipta kunci baharu untuk pasangan yang berjalan; ia mencipta dua rakan sebaya yang tidak bersetuju. Oleh itu menggantikan fail menambah gangguan tanpa menambah putaran.

Tiada juga tanggapan identiti rakan sebaya selain pemilikan fail. Sesiapa yang memegang kunci ialah rakan sebaya, dan tiada apa-apa dalam terowong merekodkan pihak mana yang mana, jadi pembatalan adalah semua atau tiada.

Beralih kepada TLS tanpa mereka bentuk semula pautan

Mod TLS menambah saluran kawalan, dan dengannya keupayaan untuk merundingkan kunci saluran data. Dalam penggunaan titik-ke-titik, satu pihak mengambil peranan pelayan dan pihak lain peranan klien, tetapi topologi kekal sebagai pautan antara dua rakan sebaya: setiap pihak mengetahui titik akhir pihak lain, dan tiada kolam atau perkhidmatan berbilang pengguna muncul. Peranan ialah butiran jabat tangan, bukan seni bina baharu.

Berikan setiap mesin identitinya sendiri. Setiap pihak memerlukan sijil dan kunci peribadi, sauh kepercayaan yang mengesahkan pihak lain, dan peraturan pengesahan rakan sebaya yang menamakan siapa yang dijangka. Jangan guna semula kunci peribadi satu rakan sebaya pada pihak lain untuk menjimatkan masa; itu menjadikan dua identiti menjadi satu dan menghapuskan keupayaan membatalkan mana-mana pihak secara berasingan. Pendaftaran ialah tempat untuk melakukannya dengan betul, kerana membaikinya kemudian bermakna mengeluarkan semula sijil.

Kekalkan kontrak rangkaian tanpa perubahan sementara perlindungan berubah. Alamat terowong, laluan dan perkhidmatan yang dibenarkan yang sama harus terpakai sebelum dan selepas, supaya kegagalan semasa migrasi ialah masalah perlindungan dan bukan kejutan penghalaan yang tersamar. Catat alamat dan laluan sebelum perubahan; membandingkannya selepas itu lebih pantas daripada membinanya semula dari ingatan.

Sesetengah penggunaan juga melindungi saluran kawalan dengan kunci statiknya sendiri, yang tidak berputar bersama saluran data. Kunci itu mengawal jabat tangan dan bukan muatan, jadi pendedahannya mendedahkan rundingan dan bukan trafik. Simpan ia berasingan daripada bahan saluran data, dan berikan tarikh penggantian yang dimiliki oleh orang yang dinamakan. Memutarnya bermakna memulakan semula kedua-dua rakan sebaya dalam tetingkap yang diselaraskan, sebab itu ia wajar mendapat catatan kalendar dan bukan ingatan.

Siapa memperbaharui apa, dan bila

Dalam mod TLS, pembaharuan dipandu oleh had yang dikonfigurasikan: selang masa, kiraan bait atau kiraan paket. Kawalan masa yang didokumenkan ialah apa yang diharapkan oleh kebanyakan penggunaan, dan nilai berkesan yang lebih rendah merentas kedua-dua rakan sebaya boleh memulakan penggantian, jadi menaikkannya pada satu pihak sahaja tidak akan menahan peristiwa itu. Had berasaskan isipadu wujud kerana pautan yang sibuk boleh menghabiskan kunci jauh sebelum jam melakukannya. Tiada satu pun had itu ialah pemeriksaan kesihatan, dan tiada satu pun memberitahu anda bahawa pembaharuan berjaya.

Sebab itu mendiagnosis rundingan semula berulang daripada satu fail konfigurasi adalah mengelirukan. Baca tetapan pada kedua-dua rakan sebaya, kemudian lihat peralihan dalam log dan bukan menganggap kerosakan. Pembaharuan yang selesai dengan bersih kelihatan seperti semburan pendek trafik saluran kawalan, bukan seperti pemutusan.

Simpan objek secara berasingan dalam fikiran anda. Sijil membuktikan identiti jangka panjang dan diganti mengikut jadual yang anda kawal. Kunci saluran data disegarkan secara automatik, dan pertukaran pengesahan berasingan, jika penggunaan memerlukannya, mengikut dasar akaun dan mungkin memerlukan pengaturannya sendiri untuk pertukaran kemudian.

Menyahdayakan pembaharuan sepenuhnya, dengan menetapkan selang kepada sifar, bukan penyelesaian untuk log yang bising. Ia mengubah peristiwa kitaran hayat yang sihat menjadi kunci kekal, yang membawa anda kembali kepada sifat yang anda cuba tinggalkan.

Menerima perubahan

Bina konfigurasi baharu daripada contoh yang disokong bagi keluaran yang dipasang, bukan daripada coretan minimum lama yang algoritma dan laluan failnya diwarisi dari tempat lain. Selaraskan pertukaran supaya kedua-dua rakan sebaya berubah bersama, dan kekalkan laluan pemulihan yang diluluskan jika satu pihak gagal bangkit. Turunkan pautan dengan sengaja dan bukan menunggu gangguan untuk menguji pengunduran. Pengunduran yang anda latih lebih bernilai daripada pengunduran yang anda huraikan.

Uji tiga perkara: pengesahan identiti awal berjaya, aliran aplikasi yang dimaksudkan berfungsi, dan pembaharuan terkawal berlaku tanpa kehilangan trafik. Kemudian baca peralihan dalam log untuk apa yang sebenarnya dibuktikan: pengecam kunci baharu bermakna rakan sebaya menyelesaikan penggantian, bukan bahawa terowong bersambung semula. Anggapnya sebagai bukti satu langkah, dan periksa pembilang trafik sebelum mengisytiharkan migrasi selesai.

Apa yang janji tanpa gangguan akan sembunyikan ialah kegagalan yang belum anda lihat. Pembaharuan yang gagal, sijil yang tamat tempoh atau kerosakan laluan masih boleh mengganggu pautan, dan tiada satu pun daripadanya dikecualikan oleh ujian yang bersih. Sifat yang wajar direka bentuk ialah lebih sempit dan lebih berguna: penggantian kunci rutin berhenti menjadi pertukaran fail secara manual.