Kailangan ba ng bawat peer ng OpenVPN ng linyang remote? Hindi eksakto

Dalawang konfigurasyon ng peer ang inihahambing nang magkatabi, may linyang remote ang isa at wala ang isa, at ang konklusyon ay sira ang isa sa kanila. Ang hinuha na iyon ay mali nang madalas nang sapat upang sulitin ang pagsusuri. Inilalarawan ng direktiba kung saan dapat ipadala ang unang packet. Hindi nito pinipili kung kumikilos ang proseso bilang client na nagpapasimula o bilang gateway na naghihintay, at hindi nito pinagpapasyahan kung aling panig ang nagpapatunay ng pagkakakilanlan nito sa isa.

Ano ang aktwal na tinutukoy ng remote

Ang entry na remote ay nagpangalan ng host, opsyonal na port at transport, at opsyonal na ilang gayong entry na susubukan nang sunod-sunod.

Ang kawalan nito ay may tiyak at hindi malabong kahulugan: naghihintay ang proseso at hindi kumikilos sa mga packet mula sa isang address maliban kung mag-authenticate ang peer na iyon. Kaya ang gateway na naglilingkod sa mga gumagala na user ay walang dahilan upang pangalanan ang sinuman sa kanila nang maaga.

Basahin ang entry bilang ugnayan ng address. Kung mapagkakatiwalaan ang malayong dulo ay sinasagot ng mga certificate at opsyon sa beripikasyon, hindi ng katotohanang may nakasulat na address.

Tatlong kaayusan ang nagpapasya sa sagot

Kailangan ng gumagala na client ng destinasyon, dahil dapat itong magsimula at hindi nito alam kung nasaan ang gateway kung wala ito. Hindi kailangan ng gateway na may maraming client ng destinasyon sa bawat user, dahil dumarating at nag-authenticate ang mga client. Ang sadyang ugnayan ng dalawang peer na may kilalang dulo ay maaaring may destinasyon sa isang panig, sa dalawang panig, o wala, depende sa kung aling panig ang nagpapasimula.

Ang pagdikit ng nakapirming address ng client sa pangkalahatang gateway ay ang pagkakamaling nagmumula sa pagwawalang-bahala sa mga kategoryang iyon. Gumagana ito para sa nag-iisang peer na naitala ang address at inililigaw ang lahat ng iba.

Wala sa direktiba ang gumagawa sa konfigurasyon na maging server ng maraming client, at wala sa presensya nito ang humahadlang sa papel na server. Ang sanggunian ng OpenVPN 2.6 ay hiwalay na nagtatala ng opsyonal na argumento at ng pag-uugali kapag walang remote, na isang pahiwatig kung gaano sila kalaya.

Ang mga papel ng transport ay ibang aksis

Sa TCP naghihintay ang isang panig at tumatawag ang isa. Hiwalay ang mga ito sa destinasyon, at ang paghahalo sa kanila ay gumagawa ng pares na parehong naghihintay o parehong tumatawag.

May papel din ang filter ng pinagmulan ng TCP, kaya mali ang tuwirang pahayag na hindi kailanman maaaring maglaman ng remote ang isang server.

Sa UDP walang koneksyon na itatatag, kaya ginagamit ng dalawang dulo ang katumbas na transport na UDP at sinasabi lamang ng direktiba kung saan tututok. Ang mga pagbabago ng address ng isang authenticated na peer ay pinangangasiwaan ng nakalaang pag-uugali at hindi sa pamamagitan ng pagdaragdag ng mas maraming entry. Ang tamang transport ay paunang kondisyon upang may kahulugan ang destinasyon, at ang paghahalo sa dalawa ay gumagawa ng mga konfigurasyong mukhang makatwiran at hindi kailanman natatapos ang handshake.

Bakit ang kawalan ng remote ay hindi bukas na pinto

Ang prosesong walang destinasyon ay tumatanggihan pa rin ng trapiko mula sa mga peer na hindi nag-authenticate, at iyon ang bahaging napapabayaan ng mga tao kapag binabasa ang nawawalang linya bilang tagapakinig na bukas sa sinuman.

Ang authentication at destinasyon ay magkahiwalay, at ang una ang mahalaga para sa tiwala.

Ang kabaligtarang pagkakamali ay mas mapanganib. Ang nakapirming address ng pinagmulan ay maaaring pakiramdaman na parang kontrol sa pag-access dahil partikular ito at madaling suriin, ngunit wala itong pinatutunayan tungkol sa kung sino ang nasa kabilang dulo. Panatilihin ang beripikasyon ng certificate, at panatilihin ang mga pagsusuri ng pagkakakilanlan na nagbibigkis sa certificate sa papel nito. Ang palitan ang mga ito ng pagtutugma ng address ay nagpapalit ng tunay na kontrol sa anyo nito.

Isulat ang ipinapalagay ng konfigurasyon

Para sa bawat panig, itala ang tatlong bagay: kung paano naaabot ng unang packet ang peer, aling panig ang makakatanggap ng transport, at ano ang binibigyang-beripikasyon ng bawat panig tungkol sa isa.

Ang mga palagay na iyon ang disenyo. Ang mga direktiba ay ang baybay lamang nito.

Kung magkaiba ang dalawang file, suriin kung nagpapahayag sila ng magkaibang palagay sa halip na ipagpalagay na mali ang isa. Ang simetriko na pares ng file ay hindi kailangan at hindi rin sapat para sa gumaganang tunnel, at ang asimetriya ang kadalasang bahaging nagpapagana sa isang topolohiya.