Çelës statik apo TLS për një lidhje OpenVPN midis dy kolegëve?

Dy makina që flasin vetëm me njëra-tjetrën mund ta mbajnë atë topologji dhe gjithsesi të marrin çelësa trafiku të negociuar. Forma e rrjetit dhe mënyra e mbrojtjes janë zgjedhje të pavarura, dhe pikërisht ngatërrimi i tyre i bën njerëzit të përpiqen të rrotullojnë një sekret statik duke zëvendësuar një skedar ndërsa të dy demonët vazhdojnë të punojnë. Zëvendësimi i skedarit të çelësit nën një çift në punë nuk rrotullon asgjë. Mënyra e çelësit statik, të cilën OpenVPN 2.6 e shënon si të vjetruar, mban një çelës për gjithë jetën e tunelit, prandaj skedari në disk dhe çelësi në memorie përputhen përsëri vetëm pasi të dy skajet rinisen. Nëse kërkesa është rinovimi automatik, mënyra e mbrojtjes duhet të ndryshojë.

Çfarë nuk mund të bëjë mënyra e çelësit statik

Në mënyrën sekrete, të dy kolegët ndajnë një çelës të ndarë paraprakisht që e kripton dhe e vërteton tunelin drejtpërdrejt. Nuk ka shtrëngim duarsh, prandaj nuk ka mekanizëm që çdo palë të propozojë material të ri çelësi, të provojë identitetin ose të rikuperohet nga një mospërputhje pa ndërhyrjen e operatorit. Të dyja vetitë vijnë nga mungesa e një kanali kontrolli dhe jo nga një opsion që mungon, dhe asnjë flamur konfigurimi nuk shton një të tillë në këtë mënyrë.

Manuali i OpenVPN 2.6 thotë shprehimisht se çelësi vazhdon derisa të gjenerohet një i ri. Kjo është e pranueshme për një lidhje laboratori ose një çift fiks pajisjesh me procedurë rrotullimi të dokumentuar, dhe e papranueshme kudo ku një sekret jetëgjatë është rrezik i vërtetë. Zëvendësimi i skedarit nuk krijon një çelës të ri për një çift në punë; krijon dy kolegë që nuk bien dakord. Prandaj zëvendësimi i skedarit shton një ndërprerje pa shtuar rrotullim.

Nuk ekziston as nocioni i identitetit të kolegut përtej zotërimit të skedarit. Kushdo që mban çelësin është koleg, dhe asgjë në tunel nuk shënon cila anë është cila, prandaj revokimi është gjithçka ose asgjë.

Kalimi në TLS pa riprojektuar lidhjen

Mënyra TLS shton një kanal kontrolli dhe bashkë me të aftësinë për të negociuar çelësat e kanalit të të dhënave. Në një vendosje pikë-pikë, njëra anë merr rolin e serverit dhe tjetra rolin e klientit, por topologjia mbetet një lidhje midis dy kolegëve: secila anë njeh pikën fundore të tjetrës, dhe nuk shfaqet asnjë gruap as shërbim shumëpërdorues. Rolet janë një detaj i shtrëngimit të duarve, jo një arkitekturë e re.

Jepini çdo makine identitetin e vet. Secila anë ka nevojë për një certifikatë dhe një çelës privat, ankorën e besimit që vërteton tjetrën, dhe një rregull verifikimi kolegu që emërton kush pritet. Mos e ripërdorni çelësin privat të një kolegu në tjetrin për të kursyer kohë; kjo i kthen dy identitete në një dhe heq aftësinë për të revokuar secilën anë veçmas. Regjistrimi është vendi për ta bërë këtë si duhet, sepse rregullimi më vonë do të thotë ritërhapje certifikatash.

Mbajeni kontratën e rrjetit të pandryshuar ndërsa mbrojtja ndryshon. Të njëjtat adresa tuneli, rrugë dhe shërbime të lejuara duhet të zbatohen para dhe pas, kështu që një dështim gjatë migrimit është problem mbrojtjeje dhe jo një surprizë e maskuar e rrugëtimit. Shkruani adresat dhe rrugët përpara ndryshimit; krahasimi i tyre më pas është më i shpejtë sesa rindërtimi nga kujtesa.

Disa vendosje mbrojnë edhe kanalin e kontrollit me çelësin e tyre statik, që nuk rrotullohet bashkë me kanalin e të dhënave. Ai çelës ruan shtrëngimin e duarve dhe jo ngarkesën, prandaj kompromentimi i tij ekspozon negocimin dhe jo trafikun. Ruajeni veçmas nga materiali i kanalit të të dhënave, dhe jepini një datë zëvendësimi që e zotëron një person i emërtuar. Rrotullimi i tij do të thotë rinisje e të dy kolegëve në një dritare të koordinuar, prandaj meriton një zë kalendari dhe jo një kujtesë.

Kush rinovon çfarë, dhe kur

Në mënyrën TLS, rinovimi udhëhiqet nga kufij të konfiguruar: një interval kohe, një numërim bajtësh ose një numërim paketash. Kontrolli i dokumentuar i kohës është ai ku mbështeten shumica e vendosjeve, dhe vlera efektive më e ulët midis dy kolegëve mund të nisë zëvendësimin, prandaj ngritja e tij vetëm në njërën anë nuk e mban mbrapsht ngjarjen. Kufijtë e bazuar në vëllim ekzistojnë sepse një lidhje e zënë mund ta shterojë një çelës shumë përpara orës. Asnjëri kufi nuk është kontroll shëndeti dhe asnjëri nuk ju thotë se rinovimi pati sukses.

Prandaj diagnostikimi i një rinegocimi të përsëritur nga një skedar i vetëm konfigurimi është mashtrues. Lexoni cilësimet në të dy kolegët, pastaj shikoni tranzicionin në regjistër në vend që të supozoni një defekt. Një rinovim që përfundon pastër duket si një shpërthim i shkurtër i trafikut të kanalit të kontrollit, jo si një shkëputje.

Mbajini objektet veçmas në kokën tuaj. Certifikata provon identitetin afatgjatë dhe zëvendësohet sipas një plani që ju kontrolloni. Çelësi i kanalit të të dhënave rifreskohet automatikisht, dhe një shkëmbim i veçantë vërtetimi, nëse vendosja kërkon një, ndjek politikën e llogarisë dhe mund të ketë nevojë për aranzhimet e veta për shkëmbimet e mëvonshme.

Çaktivizimi i plotë i rinovimit, duke vendosur intervalin në zero, nuk është zgjidhje për një regjistër të zhurmshëm. Ai e shndërron një ngjarje të shëndetshme të ciklit të jetës në një çelës të përhershëm, gjë që ju kthen te vetia që po përpiqeshit të linit pas.

Pranimi i ndryshimit

Ndërtoni konfigurimin e ri nga shembulli i mbështetur i versionit të instaluar, jo nga një copë minimalisht e vjetër, algoritmet dhe shtigjet e skedarëve të së cilës janë trashëguar nga diku tjetër. Koordinoni ndërrimin që të dy kolegët të ndryshojnë bashkë, dhe mbani një rrugë rikuperimi të miratuar në rast se njëra anë nuk ngrihet. Uleni lidhjen qëllimisht në vend që të prisni një ndërprerje për të provuar kthimin pas. Një kthim pas që e keni ushtruar vlen më shumë se një kthim pas që e keni përshkruar.

Provoni tre gjëra: verifikimi fillestar i identitetit ka sukses, rrjedha e synuar e aplikacionit funksionon, dhe një rinovim i kontrolluar ndodh pa humbur trafik. Pastaj lexoni tranzicionin në regjistër për atë që vërteton vërtet: një identifikues i ri çelësi do të thotë që kolegët përfunduan një zëvendësim, jo që tuneli u rilidh. Trajtojeni si provë e një hapi, dhe kontrolloni numëruesit e trafikut përpara se ta shpallni migrimin të përfunduar.

Ajo që një premtim për zero ndërprerje do të fshihte është dështimi që nuk e keni parë ende. Një rinovim që dështon, një certifikatë që skadon ose një defekt rruge mund ta shqetësojnë lidhjen gjithsesi, dhe asnjëra prej tyre nuk përjashtohet nga një provë e pastër. Vetia për të cilën ia vlen të projektohet është më e ngushtë dhe më e dobishme: zëvendësimi rutinë i çelësave pushon së qeni një zëvendësim manual skedari.