के स्ट्याटिक-की OpenVPN लिङ्कले धेरै क्लाइन्टलाई सेवा दिन सक्छ?

स्ट्याटिक-की मोडले ठ्याक्कै दुई पियर जोड्छ, र यो त्यसको डिजाइन हो, कसैले हटाउन बिर्सेको सीमा होइन। client-to-client सर्भर मोडको फर्वार्डिङ विकल्प हो, त्यसैले यसलाई --secret कन्फिगरेसनमा थप्दा कति क्लाइन्ट जोडिन सक्छन् भन्नेमा केही बदलिँदैन। निर्णय कुन फ्ल्याग थप्ने भन्ने होइन, तर परिनियोजनलाई पोइन्ट-टु-पोइन्ट लिङ्क चाहिन्छ कि बहु-क्लाइन्ट सेवा भन्ने हो। यदि धेरै उपकरणले स्वतन्त्र रूपमा जोडिनुपर्छ भने सुरक्षा मोड बदलिन्छ र प्रत्येक उपकरणले पहिचान पाउँछ।

दुई पियर, एउटा कुञ्जी र प्रत्येक क्लाइन्टको लागि कुनै अवस्था छैन: त्यही आकार यो मोडको सम्पूर्ण कथा हो।

स्ट्याटिक-की मोड के का लागि हो

गोप्य मोडमा दुवै पियर एउटै कुञ्जी फाइल साझा गर्छन्, र त्यो कुञ्जीले ट्राफिकलाई सिधै सुरक्षित गर्छ। कुनै ह्यान्डशेक छैन, प्रमाणपत्र आदानप्रदान छैन र प्रत्येक क्लाइन्टको लागि सत्र छैन, किनकि सर्भरको अर्थमा क्लाइन्टहरू छैनन्, केवल दुई अन्त्य बिन्दु छन्।

कुञ्जी परिवर्तनको कागजात भएको स्थिर मेसिन जोडीका लागि यो मोड उपयोगी रहन्छ, र OpenVPN 2.6 ले यसलाई अप्रचलित भनेर चिन्ह लगाउँछ किनकि TLS मोडले ती अवस्थाहरूलाई राम्रा गुणहरूसहित समेट्छ। गर्न नसक्ने कुरा भनेको जोडिने एउटा उपकरणलाई अर्कोबाट छुट्याउनु हो, किनकि फाइलको स्वामित्व नै सम्पूर्ण प्रमाणीकरणको कथा हो। तेस्रो उपकरण थप्नु भनेको त्यससँगै त्यही कुञ्जी साझा गर्नु हो, त्यसपछि पहिला दुईले त्यसलाई आफूहरूबाट छुट्याउन सक्दैनन्।

त्यसैले दुई-पियर सीमा संरचनात्मक हो, बदल्न सकिने सेटिङ होइन।

client-to-client किन हराएको टुक्रा होइन

client-to-client ले जोडिएका क्लाइन्टहरूले सर्भरमार्फत ट्राफिक आदानप्रदान गर्न सक्छन् कि सक्दैनन् नियन्त्रण गर्छ। यसले क्लाइन्टलाई प्रवेश दिँदैन, पहिचान दिँदैन र कन्फिगर नगरिएको सर्भर मोड सिर्जना गर्दैन, र स्ट्याटिक-की कन्फिगरेसनमा यसले व्यवस्थापन गर्ने क्लाइन्ट सूची हुँदैन।

अर्को सामान्य भ्रम tls-crypt वा tls-auth सामग्रीसँग सम्बन्धित छ। TLS सर्भरले ती कुञ्जीमध्ये एउटा सबै क्लाइन्टबीच साझा गर्न सक्छ, किनकि यसले प्रत्येक क्लाइन्ट को हो भनी प्रमाणित गर्नुको सट्टा नियन्त्रण च्यानल सुरक्षित गर्छ। TLS मोडमा साझा गरिएको नियन्त्रण-च्यानल कुञ्जी साझा गरिएको स्ट्याटिक डेटा कुञ्जीभन्दा फरक वस्तु हो, दुवै उस्तै देखिने फाइलका रूपमा आए पनि।

मोडहरूबीचको छनोट दुई प्रश्नमा आउँछ। एकभन्दा बढी उपकरणले स्वतन्त्र रूपमा जोडिनुपर्छ कि पर्दैन, र परिनियोजनलाई प्रत्येक उपकरणको रद्दीकरण चाहिन्छ कि चाहिँदैन? दुवैमा होइन भए स्ट्याटिक-की मोड टिकिरहन्छ; कुनै एकमा हो भए त्यो TLS तर्फ संकेत गर्छ। आफ्नै पहिचानबिना दोस्रो क्लाइन्ट स्वीकार गरिने तेस्रो विकल्प छैन।

बहु-क्लाइन्ट सर्भर निर्माण

बहु-क्लाइन्ट सर्भरलाई TLS मोड, सर्भर पक्षको प्रमाणपत्र र प्रत्येक क्लाइन्टको पहिचान आवश्यक हुन्छ। सर्भर सहायकले ठेगाना पूल र बहु-क्लाइन्ट मोड सेट गर्छ, तर TLS कन्फिगरेसन, विश्वास एङ्कर वा प्रवेशलाई अर्थपूर्ण बनाउने क्लाइन्ट प्रमाणपत्रहरू उपलब्ध गराउँदैन।

एक क्लाइन्टको प्रमाणहरू प्रतिलिपि गर्नुको सट्टा विद्यमान प्रमाणपत्र प्राधिकरणमार्फत प्रत्येक उपकरण दर्ता गर्नुहोस्। भिन्न पहिचानहरूले नै रद्दीकरण, प्रत्येक क्लाइन्टको मार्गनिर्देशन र उपयोगी लगहरू सम्भव बनाउँछन्, र एउटै साझा क्लाइन्ट प्रमाणपत्रले तीनैलाई भताभुङ्ग बनाउँछ।

यदि परिनियोजनले प्रयोगकर्ताहरूलाई बाह्य निर्देशिका वा दोस्रो कारकमार्फत प्रमाणीकरण गर्छ भने त्यो डिजाइन जस्ताको तस्तै रहन्छ। TLS सर्भर मोडमा जानुले पियरहरूले टनेल तहमा आफूलाई कसरी प्रमाणित गर्छन् भन्ने निर्धारण गर्छ र खाता ब्याकएन्ड निर्दिष्ट गर्दैन। दुई निर्णय अलग राख्नुहोस् ताकि एउटामा भएको परिवर्तनले अर्कोलाई चुपचाप बदल्न नसकोस्।

त्यसपछि फर्वार्डिङ नीति सचेत रूपमा तय गर्नुहोस्। client-to-client ले प्रयोगकर्ता-स्थानको सर्भर मार्गमा क्लाइन्ट-देखि-क्लाइन्ट ट्राफिक सक्षम गर्छ, जुन धेरै परिनियोजन चाहन्छन् र केहीलाई हुनु हुँदैन। यो नीति स्विच हो, पहिचान संयन्त्र होइन, र ट्युटोरियलमा भएकोले होइन, डिजाइनले आवश्यक ठानेकोले यो खोल्नुपर्छ।

क्लाइन्टहरू साँच्चै स्वतन्त्र छन् कि भनी जाँच्ने

दुई क्लाइन्ट जोड्नुहोस् र तिनीहरूले फरक ठेगाना पाउने र सर्भरको लगमा फरक पहिचानसहित देखिने कुरा पुष्टि गर्नुहोस्। त्यसपछि एउटा रद्द गर्नुहोस् र अर्को काम गरिरहने कुरा पुष्टि गर्नुहोस्, यो पहिचानहरू साझा नभएको व्यावहारिक परीक्षण हो।

अनुमत पियर-देखि-पियर सेवा र अवरुद्ध रहनुपर्ने सेवा परीक्षण गर्नुहोस्। दुई सफल लगइनले प्रवेश प्रमाणित गर्छ, अलगाव होइन, र परिनियोजनले प्रयोगकर्ता समूह अलग गर्नुपर्ने अवस्थामा यो भिन्नता महत्त्वपूर्ण हुन्छ।

अन्तमा, सर्भर मोड स्मृतिबाट होइन, चलिरहेको कन्फिगरेसनबाट पढ्नुहोस्। थप विकल्पसहितको स्ट्याटिक-की कन्फिगरेसन अझै पनि पोइन्ट-टु-पोइन्ट लिङ्क हो, र सही TLS सर्भर मात्र यस्तो व्यवस्था हो जहाँ धेरै क्लाइन्ट साँच्चै अलग पियर हुन्छन्।

यदि लगले प्रत्येक उपकरणका लागि एउटै साझा नाम देखाउँछ भने समस्या मोड होइन। समस्या दर्ता प्रक्रिया हो।