Je, kiungo cha OpenVPN chenye ufunguo tuli kinaweza kuhudumia wateja kadhaa?

Hali ya ufunguo tuli huunganisha pande mbili sawa hasa, na huo ni muundo wake, si kizuizi ambacho mtu alisahau kuondoa. client-to-client ni chaguo la upelekaji katika hali ya seva, kwa hivyo kuiongeza kwenye usanidi wa --secret hakubadilishi chochote kuhusu wateja wangapi wanaweza kuungana. Uamuzi si bendera ipi iongezwe, bali kama usambazaji unahitaji kiungo cha nukta-hadi-nukta au huduma ya wateja wengi. Ikiwa vifaa kadhaa lazima viungane kwa kujitegemea, hali ya ulinzi inabadilika na kila kifaa kinapata utambulisho.

Pande mbili, ufunguo mmoja na hakuna hali kwa kila mteja: umbo hilo ni hadithi yote ya hali hii.

Hali ya ufunguo tuli ni ya nini

Katika hali ya siri pande zote mbili hushiriki faili moja ya ufunguo, na ufunguo huo hulinda trafiki moja kwa moja. Hakuna kupeana mikono, hakuna kubadilishana vyeti na hakuna kikao kwa kila mteja, kwa sababu hakuna wateja kwa maana ya seva, kuna ncha mbili tu.

Hali hii inabaki kuwa muhimu kwa jozi maalum ya mashine yenye mchakato ulioandikwa wa kubadilisha ufunguo, na OpenVPN 2.6 inaitia alama ya kuwa imepitwa na wakati kwa sababu hali ya TLS inashughulikia kesi hizo kwa sifa bora. Isiyoweza kufanya ni kutofautisha kifaa kimoja kinachoungana na kingine, kwa kuwa umiliki wa faili ndiyo hadithi yote ya uthibitishaji. Kuongeza kifaa cha tatu kunamaanisha kushiriki ufunguo huo na hicho, na baada ya hapo viwili vya kwanza haviwezi tena kukitofautisha na vyenyewe.

Ndiyo sababu kikomo cha pande mbili ni cha kimuundo na si mpangilio unaoweza kubadilishwa.

Kwa nini client-to-client si kipande kinachokosekana

client-to-client hudhibiti kama wateja walioingizwa wanaweza kubadilishana trafiki kupitia seva. Haiwaruhusu wateja, haitoi utambulisho na haiundi hali ya seva ambayo haikusanidiwa, na katika usanidi wa ufunguo tuli hakuna orodha ya wateja ambayo ingeweza kuisimamia.

Kuchanganyikiwa kwingine kwa kawaida kunahusu nyenzo za tls-crypt au tls-auth. Seva ya TLS inaweza kushiriki mmoja wa funguo hizo kwa wateja wote, kwa sababu inalinda kituo cha udhibiti badala ya kuthibitisha kila mteja ni nani. Ufunguo wa kituo cha udhibiti unaoshirikiwa katika hali ya TLS ni kitu tofauti na ufunguo tuli wa data unaoshirikiwa, ingawa wote huja kama faili zinazofanana.

Uchaguzi kati ya hali hizo unakuja kwa maswali mawili. Je, zaidi ya kifaa kimoja kinahitaji kuungana kwa kujitegemea, na usambazaji unahitaji kufuta kwa kila kifaa? Hapana kwa yote mawili huweka hali ya ufunguo tuli hai; ndiyo kwa mojawapo huonyesha TLS. Hakuna chaguo la tatu ambapo mteja wa pili hukubaliwa bila utambulisho wake mwenyewe.

Kujenga seva ya wateja wengi

Seva ya wateja wengi inahitaji hali ya TLS, cheti cha upande wa seva na utambulisho kwa kila mteja. Msaidizi wa seva husanidi dimbwi la anwani na hali ya wateja wengi, lakini haitoi usanidi wa TLS, nanga ya uaminifu au vyeti vya wateja vinavyofanya ukubalifu uwe na maana.

Sajili kila kifaa kupitia mamlaka iliyopo ya vyeti badala ya kunakili vitambulisho vya mteja mmoja. Utambulisho tofauti ndio hufanya kufuta, uelekezaji kwa kila mteja na kumbukumbu muhimu ziwezekane, na cheti kimoja cha mteja kinachoshirikiwa huangusha vyote vitatu.

Ikiwa usambazaji unathibitisha watumiaji kupitia saraka ya nje au kipengele cha pili, muundo huo unabaki kama ulivyo. Kuhamia hali ya seva ya TLS huamua jinsi pande zinavyojithibitisha kwenye tabaka la handaki, na hakuamuru backend ya akaunti. Weka maamuzi mawili tofauti ili mabadiliko katika moja yasibadilishe kingine kimya kimya.

Kisha amua sera ya upelekaji kwa makusudi. client-to-client huwezesha trafiki kati ya wateja kwenye njia ya seva katika nafasi ya mtumiaji, ambayo usambazaji mwingi unataka na kadhaa haipaswi kuwa nayo. Ni swichi ya sera, si utaratibu wa utambulisho, na inapaswa kuwashwa kwa sababu muundo unahitaji, si kwa sababu mafunzo yaliiweka.

Kuhakikisha wateja ni huru kweli kweli

Unganisha wateja wawili na uthibitishe kwamba wanapata anwani tofauti na wanaonekana na utambulisho tofauti kwenye kumbukumbu ya seva. Kisha futa mmoja na uthibitishe kwamba mwingine anaendelea kufanya kazi, na huo ni mtihani wa vitendo kwamba utambulisho haukushirikiwa.

Jaribu huduma inayoruhusiwa kati ya pande na moja ambayo inapaswa kubaki imezuiwa. Kuingia kwa mafanikio mara mbili kunathibitisha ukubalifu, si utengano, na tofauti hiyo ni muhimu wakati usambazaji unapaswa kutenganisha makundi ya watumiaji.

Mwisho, soma hali ya seva kutoka kwa usanidi unaoendesha na si kutoka kwa kumbukumbu. Usanidi wa ufunguo tuli wenye chaguo za ziada bado ni kiungo cha nukta-hadi-nukta, na seva sahihi ya TLS ndiyo mpangilio pekee ambapo wateja kadhaa ni pande tofauti kweli kweli.

Ikiwa kumbukumbu inaonyesha jina moja la kawaida kwa kila kifaa, tatizo si hali. Tatizo ni mchakato wa usajili.