Ali lahko povezava OpenVPN s statičnim ključem služi več odjemalcem?

Način s statičnim ključem poveže natanko dva enakovredna sogovornika in to je njegova zasnova, ne omejitev, ki bi jo kdo pozabil odpraviti. client-to-client je možnost posredovanja v strežniškem načinu, zato njeno dodajanje v konfiguracijo --secret ne spremeni ničesar glede tega, koliko odjemalcev se lahko poveže. Odločitev ni, katero zastavico dodati, ampak ali namestitev potrebuje povezavo od točke do točke ali storitev za več odjemalcev. Če se mora več naprav povezovati neodvisno, se način zaščite spremeni in vsaka naprava dobi identiteto.

Dva sogovornika, en ključ in nobeno stanje na odjemalca: ta oblika je cela zgodba načina.

Čemu je namenjen način s statičnim ključem

V tajnem načinu si oba sogovornika delita eno ključno datoteko in ta ključ neposredno ščiti promet. Ni rokovanja, ni izmenjave potrdil in ni seje na odjemalca, ker v strežniškem smislu ni odjemalcev, le dve končni točki.

Način ostaja uporaben za fiksni par strojev z dokumentiranim postopkom menjave ključev, OpenVPN 2.6 pa ga označuje kot zastarelega prav zato, ker način TLS te primere pokriva z boljšimi lastnostmi. Česar ne zmore, je razlikovanje ene povezujoče naprave od druge, saj je posedovanje datoteke cela zgodba preverjanja pristnosti. Dodajanje tretje naprave pomeni deliti z njo isti ključ, nakar prvih dve napravi ne moreta več ločiti od sebe.

Zato je meja dveh sogovornikov strukturna in ne nastavitev, ki bi jo bilo mogoče spremeniti.

Zakaj client-to-client ni manjkajoči del

client-to-client nadzoruje, ali si povezani odjemalci lahko izmenjujejo promet prek strežnika. Ne sprejema odjemalcev, ne dodeljuje identitet in ne ustvarja strežniškega načina, ki ni bil konfiguriran, v konfiguraciji s statičnim ključem pa ni seznama odjemalcev, ki bi ga lahko upravljal.

Druga pogosta zmeda se nanaša na gradivo tls-crypt ali tls-auth. Strežnik TLS lahko enega od teh ključev deli med vse odjemalce, ker ščiti krmilni kanal, namesto da bi dokazoval, kdo je posamezni odjemalec. Skupni ključ krmilnega kanala v načinu TLS je drug objekt kot skupni statični podatkovni ključ, čeprav oba prideta kot podobno videti datoteki.

Izbira med načinoma se zvede na dve vprašanji. Ali se mora neodvisno povezovati več kot ena naprava in ali namestitev potrebuje preklic za vsako napravo? Ne na oboje ohranja način s statičnim ključem izvedljiv; da na katero koli od tega kaže na TLS. Tretje možnosti, kjer bi bil drugi odjemalec sprejet brez lastne identitete, ni.

Gradnja strežnika za več odjemalcev

Strežnik za več odjemalcev potrebuje način TLS, potrdilo na strežniški strani in identiteto za vsakega odjemalca. Pomočnik strežnika nastavi nabor naslovov in način za več odjemalcev, vendar ne priskrbi konfiguracije TLS, sidra zaupanja ali odjemalskih potrdil, ki sprejem naredijo smiseln.

Vsako napravo registrirajte prek obstoječe potrditvene ustanove, namesto da kopirate poverilnice enega odjemalca. Prav različne identitete omogočajo preklic, usmerjanje na odjemalca in uporabne dnevnike, eno skupno odjemalsko potrdilo pa podre vse tri.

Če namestitev preverja uporabnike prek zunanjega imenika ali drugega dejavnika, ta zasnova ostane taka, kot je. Prehod v strežniški način TLS odloča, kako se sogovorniki izkažejo na plasti tunela, in ne predpisuje zaledja računov. Dve odločitvi držite ločeni, da ena sprememba ne spremeni tiho druge.

Nato zavestno odločite o politiki posredovanja. client-to-client omogoči promet med odjemalci na strežniški poti v uporabniškem prostoru, kar si mnoge namestitve želijo, nekatere pa tega ne smejo imeti. To je stikalo politike, ne mehanizem identitete, in vklopiti ga je treba zato, ker to zahteva zasnova, ne zato, ker ga je vključila vadnica.

Preverjanje, ali so odjemalci res neodvisni

Povežite dva odjemalca in potrdite, da prejmeta različne naslove in se v dnevniku strežnika pojavita z različnimi identitetami. Nato enega prekličite in potrdite, da drugi še naprej deluje, kar je praktični preizkus, da identitete niso bile skupne.

Preizkusite dovoljeno storitev med sogovorniki in tisto, ki mora ostati blokirana. Dve uspešni prijavi dokazujeta sprejem, ne izolacije, in razlika je pomembna, ko mora namestitev ločevati skupine uporabnikov.

Nazadnje preberite strežniški način iz delujoče konfiguracije, ne iz spomina. Konfiguracija s statičnim ključem in dodatnimi možnostmi je še vedno povezava od točke do točke, pravilen strežnik TLS pa je edina ureditev, v kateri je več odjemalcev resnično ločenih sogovornikov.

Če dnevnik kaže eno skupno ime za vsako napravo, težava ni v načinu. Težava je v postopku registracije.