Her OpenVPN eşinin bir remote satırına ihtiyacı var mı? Tam olarak değil

İki eş yapılandırması yan yana karşılaştırılıyor, birinde remote satırı var diğerinde yok ve sonuç, ikisinden birinin bozuk olduğu. Bu çıkarım, ayrıştırmaya değecek kadar sık yanlış. Yönerge ilk paketin nereye gönderilmesi gerektiğini açıklar. Sürecin başlatan bir istemci mi yoksa bekleyen bir ağ geçidi mi olarak davrandığını seçmez ve hangi tarafın kimliğini diğerine kanıtladığına karar vermez.

remote gerçekte neyi belirtir

Bir remote girdisi bir ana makine, isteğe bağlı bir bağlantı noktası ve taşıma, ve isteğe bağlı olarak sırayla denenecek birkaç böyle girdi adlandırır.

Yokluğu belirsiz değil belirli bir anlam taşır: süreç bekler ve o eş kimliğini doğrulamadıkça bir adresten gelen paketler üzerinde işlem yapmaz. Bu nedenle dolaşan kullanıcılara hizmet veren bir ağ geçidinin onlardan birini önceden adlandırmak için bir nedeni yoktur.

Girdiyi bir adres ilişkisi olarak okuyun. Uzak ucun güvenilir olup olmadığını sertifikalar ve doğrulama seçenekleri yanıtlar, bir adresin yazılmış olması değil.

Üç düzen yanıtı belirler

Dolaşan bir istemcinin bir hedefe ihtiyacı vardır, çünkü başlatmak zorundadır ve hedef olmadan ağ geçidinin nerede olduğunu bilmez. Çok istemcili bir ağ geçidinin kullanıcı başına hedefe ihtiyacı yoktur, çünkü istemciler gelir ve kimliklerini doğrular. Bilinen uçları olan bilinçli iki eşli bir bağlantının bir tarafta, iki tarafta ya da hiçbirinde hedefi olabilir; hangi tarafın başlattığına bağlıdır.

Sabit bir istemci adresini genel bir ağ geçidine yapıştırmak, bu kategorileri yok saymaktan doğan hatadır. Adresi kaydedilen tek eş için işe yarar ve diğer herkesi yanıltır.

Yönergede hiçbir şey bir yapılandırmayı çok istemcili sunucuya dönüştürmez ve varlığında hiçbir şey sunucu rolünü engellemez. OpenVPN 2.6 başvurusu isteğe bağlı bağımsız değişkenleri ve remote olmadan davranışı ayrı ayrı belgeler; bu, ne kadar bağımsız olduklarına dair bir ipucudur.

Taşıma rolleri başka bir eksendir

TCP'de bir taraf bekler, diğeri arar. Bunlar hedeften ayrı yönergelerdir ve karıştırılmaları her ikisi de bekleyen ya da her ikisi de arayan bir çift üretir.

Bir TCP kaynak filtresi rolü de vardır, bu yüzden bir sunucunun asla remote içeremeyeceği yolundaki düz ifade yanlıştır.

UDP'de kurulacak bir bağlantı yoktur, bu yüzden iki uç da karşılık gelen UDP taşımasını kullanır ve yönerge yalnızca nereye nişan alınacağını söyler. Kimliği doğrulanmış bir eşin adres değişiklikleri daha fazla girdi eklemekle değil, özel bir davranışla ele alınır. Taşımayı doğru kurmak hedefin bir anlam taşımasının ön koşuludur ve ikisini karıştırmak makul görünen ve hiçbir zaman el sıkışmayı tamamlamayan yapılandırmalar üretir.

Eksik bir remote neden açık bir kapı değildir

Hedefi olmayan bir süreç yine de kimliğini doğrulamayan eşlerden gelen trafiği reddeder ve insanların eksik satırı herkese açık bir dinleyici olarak okurken kaçırdığı kısım budur.

Kimlik doğrulama ve hedef bağımsızdır ve güven için önemli olan birincisidir.

Ters hata daha tehlikelidir. Sabit bir kaynak adresi, belirli ve denetlemesi kolay olduğu için erişim denetimi gibi hissettirebilir, ancak diğer uçta kimin olduğuna dair hiçbir şey kanıtlamaz. Sertifika doğrulamasını ve bir sertifikayı rolüne bağlayan kimlik denetimlerini koruyun. Bunları bir adres eşleşmesiyle değiştirmek gerçek bir denetimi görünüşüyle değiş tokuş eder.

Yapılandırmanın neyi varsaydığını yazın

Her taraf için üç şey kaydedin: ilk paketin eşe nasıl ulaştığı, hangi tarafın taşımayı kabul edebildiği ve her tarafın diğeri hakkında neyi doğruladığı.

Bu varsayımlar tasarımdır. Yönergeler yalnızca onların yazımıdır.

İki dosya farklıysa, birinin yanlış olduğunu varsaymak yerine farklı varsayımlar ifade edip etmediklerini kontrol edin. Simetrik bir dosya çifti çalışan bir tünel için ne gereklidir ne de yeterlidir ve asimetri çoğu zaman bir topolojiyi çalıştıran kısımdır.