Jista’ ċomb OpenVPN b’ċavetta statika jservi diversi klijenti?

Il-modalita b’ċavetta statika tgħaqqad eżattament żewġ pari, u dan huwa d-disinn tagħha, mhux limitazzjoni li xi ħadd insejha jneħħi. client-to-client hija għażla ta’ rintraċċar fil-modalita server, allura ż-żieda tagħha ma’ konfigurazzjoni --secret ma tbiddel xejn f’kemm klijenti jistgħu jqabbdu. Id-deċiżjoni mhix liema bandiera tiżdied, iżda jekk l-implimentazzjoni teħtieġx ċomb punt għal punt jew servizz b’diversi klijenti. Jekk diversi apparati għandhom iqabbdu b’mod indipendenti, il-modalita ta’ protezzjoni tinbidel u kull apparat jikseb identita.

Żewġ pari, ċavetta waħda u l-ebda stat għal kull klijent: dik il-forma hija l-istorja kollha tal-modalita.

Għal xiex hi l-modalita b’ċavetta statika

Fil-modalita sigrieta ż-żewġ pari jaqsmu file ta’ ċavetta wieħed, u dik iċ-ċavetta tipproteġi t-traffiku direttament. M’hemmx ħabta tal-idejn, m’hemmx skambju ta’ ċertifikati u m’hemmx sessjoni għal kull klijent, għax m’hemmx klijenti fis-sens ta’ server, hemm biss żewġ punti tat-tarf.

Il-modalita tibqa’ utli għal par fiss ta’ magni bi proċess dokumentat ta’ rotazzjoni taċ-ċwievet, u OpenVPN 2.6 timmarkaha bħala skaduta proprju għax il-modalita TLS tkopri dawk il-każijiet bi proprjetajiet aħjar. Dak li ma tistax tagħmel huwa li tiddistingwi apparat wieħed li jqabbad minn ieħor, għax il-pussess tal-file hija l-istorja kollha tal-awtentikazzjoni. Iż-żieda ta’ terz apparat tfisser qsim tal-istess ċavetta miegħu, u wara l-ewwel tnejn ma jistgħux jiddistingwuh minnhom infushom.

Għalhekk il-limitu ta’ żewġ pari huwa strutturali u mhux setting li jista’ jinbidel.

Għaliex client-to-client mhijiex il-biċċa nieqsa

client-to-client tikkontrolla jekk il-klijenti mqabbda jistgħux jiskambjaw traffiku permezz tas-server. Ma tħalli l-ebda klijent jidħol, ma tagħti l-ebda identita u ma toħloq l-ebda modalita server li ma ġietx ikkonfigurata, u f’konfigurazzjoni b’ċavetta statika m’hemmx lista ta’ klijenti biex tirregolaha.

Il-konfużjoni komuni l-oħra tikkonċerna materjal ta’ tls-crypt jew tls-auth. Server TLS jista’ jaqsam waħda minn dawk iċ-ċwievet fost il-klijenti kollha, għax jipproteġi l-kanal ta’ kontroll minflok ma jipprova min hu kull klijent. Ċavetta kondiviża tal-kanal ta’ kontroll fil-modalita TLS hija oġġett differenti minn ċavetta tad-data statika kondiviża, għalkemm it-tnejn jaslu bħala files li jidhru simili.

L-għażla bejn il-modalitajiet tinżel għal żewġ mistoqsijiet. Jeħtieġ li iktar minn apparat wieħed iqabbad b’mod indipendenti, u l-implimentazzjoni teħtieġ revoka għal kull apparat? Le għat-tnejn iżżomm il-modalita b’ċavetta statika vijabbli; iva għal waħda minnhom tindika lejn TLS. M’hemmx tielet għażla fejn it-tieni klijent jiġi ammess mingħajr l-identita tiegħu stess.

Il-bini tas-server b’diversi klijenti

Server b’diversi klijenti jeħtieġ il-modalita TLS, ċertifikat fuq in-naħa tas-server u identita għal kull klijent. L-għajnuna tas-server tistabbilixxi l-pool tal-indirizzi u l-modalita b’diversi klijenti, iżda ma tipprovdix il-konfigurazzjoni TLS, l-ankra tal-fiduċja jew iċ-ċertifikati tal-klijenti li jagħmlu l-ammissjoni sinifikanti.

Irreġistra kull apparat permezz tal-awtorita taċ-ċertifikati eżistenti minflok ma tikkopja l-kredenzjali ta’ klijent wieħed. Identitajiet distinti huma dak li jagħmlu possibbli r-revoka, ir-rotta għal kull klijent u logs utli, u ċertifikat wieħed kondiviż tal-klijent iġarraf it-tlieta.

Jekk l-implimentazzjoni tawtentika l-utenti permezz ta’ direttorju estern jew it-tieni fattur, dak id-disinn jibqa’ kif inhu. Il-moviment lejn il-modalita server TLS jiddeċiedi kif il-pari jippruvaw lilhom infushom fil-livell tat-tunnel, u ma jiddettax il-backend tal-kontijiet. Żomm iż-żewġ deċiżjonijiet separati biex bidla f’waħda ma tbiddilx lill-oħra bil-kwiet.

Imbagħad iddeċiedi l-politika tar-rintraċċar b’mod intenzjonat. client-to-client tippermetti traffiku bejn il-klijenti fil-passaġġ tas-server fl-ispazju tal-utent, li ħafna implimentazzjonijiet iridu u xi wħud m’għandhomx ikollhom. Hija swiċċ tal-politika, mhux mekkaniżmu tal-identita, u għandha tinxtegħel għax id-disinn jeħtiġha, mhux għax tutorial inkludieha.

Il-verifika li l-klijenti huma tassew indipendenti

Qabbad żewġ klijenti u kkonferma li jirċievu indirizzi differenti u jidhru b’identitajiet differenti fil-log tas-server. Imbagħad irrevoka wieħed u kkonferma li l-ieħor jibqa’ jaħdem, li hija l-prova prattika li l-identitajiet ma kinux kondiviżi.

Ittestja s-servizz permess bejn il-pari u wieħed li għandu jibqa’ mblukkat. Żewġ dħuliet ta’ suċċess jippruvaw l-ammissjoni, mhux l-iżolament, u d-differenza tagħmel differenza meta l-implimentazzjoni għandha tissepara gruppi ta’ utenti.

Fl-aħħar, aqra l-modalita server mill-konfigurazzjoni li qed taħdem u mhux mill-memorja. Konfigurazzjoni b’ċavetta statika b’għażliet addizzjonali għadha ċomb punt għal punt, u server TLS korrett huwa l-unika arranġament li fih diversi klijenti huma tassew pari separati.

Jekk il-log juri isem komuni wieħed għal kull apparat, il-problema mhijiex il-modalita. Il-problema hija l-proċess tar-reġistrazzjoni.