Statik anahtarlı bir OpenVPN bağlantısı birden çok istemciye hizmet verebilir mi?

Statik anahtar modu tam olarak iki eşi bağlar ve bu onun tasarımıdır, birinin kaldırmayı unuttuğu bir sınırlama değildir. client-to-client sunucu modunda bir yönlendirme seçeneğidir, bu nedenle onu bir --secret yapılandırmasına eklemek kaç istemcinin bağlanabileceğini değiştirmez. Karar hangi bayrağın ekleneceği değil, dağıtımın noktadan noktaya bir bağlantıya mı yoksa çok istemcili bir hizmete mi ihtiyacı olduğudur. Birden çok cihaz bağımsız olarak bağlanmak zorundaysa koruma modu değişir ve her cihaz bir kimlik alır.

İki eş, tek anahtar ve istemci başına hiçbir durum: bu biçim modun tüm hikâyesidir.

Statik anahtar modu ne için

Gizli modda iki eş tek bir anahtar dosyasını paylaşır ve bu anahtar trafiği doğrudan korur. El sıkışma yok, sertifika alışverişi yok ve istemci başına oturum yok, çünkü sunucu anlamında istemciler yok, yalnızca iki uç nokta var.

Mod, belgelenmiş bir anahtar rotasyonu süreci olan sabit makine çifti için yararlı kalır ve OpenVPN 2.6 onu tam da TLS modu bu durumları daha iyi özelliklerle kapsadığı için kullanımdan kaldırılmış olarak işaretler. Yapamadığı şey bir bağlanan cihazı diğerinden ayırt etmektir, çünkü dosyaya sahip olmak tüm kimlik doğrulama hikâyesidir. Üçüncü bir cihaz eklemek aynı anahtarı onunla paylaşmak demektir, bundan sonra ilk ikisi onu kendilerinden ayırt edemez.

Bu yüzden iki eş sınırı yapısaldır, değiştirilebilir bir ayar değildir.

client-to-client neden eksik parça değil

client-to-client bağlı istemcilerin sunucu üzerinden trafik alışverişi yapıp yapamayacağını denetler. İstemci kabul etmez, kimlik atamaz ve yapılandırılmamış bir sunucu modu oluşturmaz ve statik anahtar yapılandırmasında onun yöneteceği bir istemci listesi yoktur.

Diğer yaygın karışıklık tls-crypt veya tls-auth malzemesiyle ilgilidir. Bir TLS sunucusu bu anahtarlardan birini tüm istemciler arasında paylaşabilir, çünkü her istemcinin kim olduğunu kanıtlamak yerine denetim kanalını korur. TLS modunda paylaşılan denetim kanalı anahtarı, paylaşılan statik veri anahtarından farklı bir nesnedir, her ikisi de benzer görünen dosyalar olarak gelse de.

Modlar arasındaki seçim iki soruya indirgenir. Birden çok cihazın bağımsız bağlanması gerekiyor mu ve dağıtımın cihaz başına iptale ihtiyacı var mı? İkisine de hayır statik anahtar modunu yaşatır; herhangi birine evet TLS'e işaret eder. İkinci bir istemcinin kendi kimliği olmadan kabul edildiği üçüncü bir seçenek yoktur.

Çok istemcili sunucuyu kurmak

Çok istemcili bir sunucu TLS modu, sunucu tarafında sertifika ve istemci başına kimlik gerektirir. Sunucu yardımcısı adres havuzunu ve çok istemcili modu kurar, ancak TLS yapılandırmasını, güven çapasını veya kabulü anlamlı kılan istemci sertifikalarını sağlamaz.

Her cihazı bir istemcinin kimlik bilgilerini kopyalamak yerine mevcut sertifika otoritesi üzerinden kaydedin. Farklı kimlikler iptali, istemci başına yönlendirmeyi ve yararlı günlükleri mümkün kılar ve tek bir paylaşılan istemci sertifikası üçünü birden çökertir.

Dağıtım kullanıcıları harici bir dizin veya ikinci bir faktör üzerinden doğruluyorsa bu tasarım olduğu gibi kalır. TLS sunucu moduna geçmek eşlerin tünel katmanında kendilerini nasıl kanıtlayacağını belirler ve hesap arka ucunu dikte etmez. İki kararı ayrı tutun ki birindeki değişiklik diğerini sessizce değiştirmesin.

Sonra yönlendirme politikasına bilinçli karar verin. client-to-client kullanıcı alanındaki sunucu yolunda istemciler arası trafiği etkinleştirir; bunu birçok dağıtım ister ve bazıları buna sahip olmamalıdır. Bu bir politika anahtarıdır, kimlik mekanizması değildir ve bir öğreticide yer aldığı için değil, tasarım gerektirdiği için açılmalıdır.

İstemcilerin gerçekten bağımsız olduğunu denetlemek

İki istemci bağlayın ve farklı adresler aldıklarını ve sunucunun günlüğünde farklı kimliklerle göründüklerini doğrulayın. Sonra birini iptal edin ve diğerinin çalışmaya devam ettiğini doğrulayın; bu, kimliklerin paylaşılmadığının pratik testidir.

İzin verilen eşler arası hizmeti ve engellenmiş kalması gereken hizmeti test edin. İki başarılı oturum açma kabulü kanıtlar, yalıtımı değil, ve dağıtımın kullanıcı gruplarını ayırması gerektiğinde bu fark önemlidir.

Son olarak sunucu modunu bellekten değil çalışan yapılandırmadan okuyun. Ek seçenekleri olan statik anahtar yapılandırması hâlâ noktadan noktaya bir bağlantıdır ve doğru bir TLS sunucusu, birden çok istemcinin gerçekten ayrı eşler olduğu tek düzenlemedir.

Günlük her cihaz için tek bir ortak ad gösteriyorsa sorun mod değildir. Sorun kayıt sürecidir.