İki eş arasındaki OpenVPN bağlantısı için statik anahtar mı TLS mi?

Yalnızca birbirleriyle konuşan iki makine bu topolojiyi koruyup yine de anlaşılmış trafik anahtarları edinebilir. Ağın biçimi ile koruma modu bağımsız seçimlerdir ve insanları her iki daemon çalışmaya devam ederken dosya değiştirerek statik bir sırrı döndürmeye iten şey bu ikisini karıştırmaktır. Çalışan bir çiftin altında anahtar dosyasını değiştirmek hiçbir şeyi döndürmez. OpenVPN 2.6’nın eskimiş olarak işaretlediği statik anahtar modu, tünelin tüm ömrü boyunca tek bir anahtar tutar, bu yüzden diskteki dosya ile bellekteki anahtar ancak iki uç yeniden başlatıldıktan sonra yeniden eşleşir. Otomatik yenileme koşul ise koruma modunun değişmesi gerekir.

Statik anahtar modunun yapamadıkları

Gizli modda iki eş, tüneli doğrudan şifreleyen ve kimlik doğrulayan önceden paylaşılmış bir anahtarı paylaşır. El sıkışma yoktur, dolayısıyla hiçbir tarafın yeni anahtar malzemesi önermesi, kimlik kanıtlaması veya operatör müdahalesi olmadan uyuşmazlıktan kurtulması için bir mekanizma yoktur. Her iki özellik de eksik bir seçenekten değil, kontrol kanalının yokluğundan kaynaklanır ve hiçbir yapılandırma bayrağı bu moda bir tane eklemez.

OpenVPN 2.6 kılavuzu, anahtarın yeni bir tane üretilene kadar kalıcı olduğunu açıkça belirtir. Bu, laboratuvar bağlantısı veya belgelenmiş bir döndürme prosedürüne sahip sabit cihaz çifti için kabul edilebilir, uzun ömürlü bir sırrın gerçek risk olduğu her yerde kabul edilemez. Dosya değişimi çalışan bir çift için yeni anahtar oluşturmaz; birbiriyle uyuşmayan iki eş oluşturur. Bu nedenle dosyayı değiştirmek döndürme eklemeden kesinti ekler.

Dosyaya sahip olmanın ötesinde bir eş kimliği kavramı da yoktur. Anahtarı elinde tutan herkes eştir ve tünelde hiçbir şey hangi tarafın hangisi olduğunu kaydetmez, bu yüzden iptal ya hep ya hiçtir.

Bağlantıyı yeniden tasarlamadan TLS’e geçiş

TLS modu bir kontrol kanalı ve onunla birlikte veri kanalı anahtarlarını anlaşma yeteneğini ekler. Noktadan noktaya kurulumda bir taraf sunucu rolünü, diğeri istemci rolünü üstlenir, ancak topoloji iki eş arasındaki bağlantı olarak kalır: her taraf diğerinin uç noktasını bilir ve hiçbir havuz ya da çok kullanıcılı hizmet ortaya çıkmaz. Roller el sıkışmanın bir ayrıntısıdır, yeni bir mimari değildir.

Her makineye kendi kimliğini verin. Her tarafın bir sertifikaya ve özel anahtara, diğerini doğrulayan güven çapasına ve kimin beklendiğini belirten bir eş doğrulama kuralına ihtiyacı vardır. Zaman kazanmak için bir eşin özel anahtarını diğerinde yeniden kullanmayın; bu iki kimliği bir yapar ve her iki tarafı ayrı ayrı iptal etme yeteneğini ortadan kaldırır. Kayıt, bunun doğru yapılacağı yerdir, çünkü sonradan düzeltmek sertifikaların yeniden verilmesi anlamına gelir.

Koruma değişirken ağ sözleşmesini değişmeden tutun. Aynı tünel adresleri, rotalar ve izin verilen hizmetler önce ve sonra geçerli olmalıdır, böylece geçiş sırasındaki bir arıza kılık değiştirmiş bir yönlendirme sürprizi değil koruma sorunu olur. Adresleri ve rotaları değişiklikten önce yazın; sonra karşılaştırmak bellekten yeniden kurmaktan daha hızlıdır.

Bazı kurulumlar kontrol kanalını, veri kanalıyla birlikte dönmeyen kendi statik anahtarıyla da korur. O anahtar yükü değil el sıkışmayı korur, bu yüzden açığa çıkması trafiği değil anlaşmayı ifşa eder. Onu veri kanalı malzemesinden ayrı saklayın ve adı belirtilmiş bir kişinin sahip olduğu bir değiştirme tarihi verin. Onu döndürmek iki eşi koordineli bir pencerede yeniden başlatmak demektir, bu yüzden bir takvim kaydını hak eder, bir hatırayı değil.

Kim neyi yeniler ve ne zaman

TLS modunda yenileme yapılandırılmış sınırlarla yönetilir: bir zaman aralığı, bayt sayısı veya paket sayısı. Belgelenmiş zaman denetimi çoğu kurulumun güvendiği şeydir ve iki eş arasındaki daha düşük etkin değer değişimi başlatabilir, bu yüzden yalnızca bir tarafta yükseltmek olayı durdurmaz. Hacme dayalı sınırlar vardır çünkü yoğun bir bağlantı bir anahtarı saatten çok önce tüketebilir. Sınırların hiçbiri sağlık denetimi değildir ve hiçbiri yenilemenin başarılı olduğunu söylemez.

Bu yüzden tek bir yapılandırma dosyasından tekrarlayan bir yeniden anlaşmayı teşhis etmek yanıltıcıdır. Her iki eşteki ayarları okuyun, sonra arıza varsaymak yerine günlükteki geçişe bakın. Temiz tamamlanan bir yenileme, bir bağlantı kopması gibi değil, kontrol kanalı trafiğinin kısa bir patlaması gibi görünür.

Nesneleri kafanızda ayrı tutun. Sertifika uzun vadeli kimliği kanıtlar ve sizin denetlediğiniz bir programa göre değiştirilir. Veri kanalı anahtarı otomatik olarak tazelenir ve ayrı bir kimlik doğrulama değişimi, kurulum gerektiriyorsa, hesap ilkesini izler ve sonraki değişimler için kendi düzenlemelerine ihtiyaç duyabilir.

Yenilemeyi aralığı sıfıra ayarlayarak tamamen kapatmak gürültülü bir günlük için çözüm değildir. Sağlıklı bir yaşam döngüsü olayını kalıcı bir anahtara dönüştürür, bu da sizi geride bırakmaya çalıştığınız özelliğe geri götürür.

Değişikliği kabul etmek

Yeni yapılandırmayı kurulu sürümün desteklenen örneğinden oluşturun, algoritmaları ve dosya yolları başka bir yerden devralınmış eski minimal parçadan değil. Geçişi iki eş birlikte değişecek şekilde koordine edin ve bir taraf ayağa kalkmazsa onaylanmış bir kurtarma yolu bulundurun. Geri almayı denemek için kesinti beklemek yerine bağlantıyı bilerek düşürün. Provasını yaptığınız bir geri alma, tarif ettiğinizden daha değerlidir.

Üç şeyi test edin: ilk kimlik doğrulama başarılı olur, amaçlanan uygulama akışı çalışır ve denetimli bir yenileme trafik kaybetmeden gerçekleşir. Ardından günlükteki geçişi gerçekte neyi kanıtladığı açısından okuyun: yeni bir anahtar tanımlayıcı, eşlerin bir değişimi tamamladığı anlamına gelir, tünelin yeniden bağlandığı değil. Bunu tek bir adımın kanıtı olarak görün ve geçişin bittiğini ilan etmeden önce trafik sayaçlarını denetleyin.

Sıfır kesinti vaadinin gizleyeceği şey, henüz görmediğiniz arızadır. Başarısız bir yenileme, süresi dolan bir sertifika veya bir yol kusuru bağlantıyı hâlâ bozabilir ve hiçbiri temiz bir test koşusuyla dışlanmaz. Tasarım yapmaya değer özellik daha dar ve daha yararlıdır: rutin anahtar değişimi elle dosya değiştirme olmaktan çıkar.