Statik kalitli OpenVPN ulanishi bir nechta mijozga xizmat qila oladimi?

Statik kalit rejimi aynan ikkita teng huquqli tomonni bog'laydi va bu uning dizayni, kimdir olib tashlashni unutgan cheklov emas. client-to-client server rejimidagi yo'naltirish parametri, shuning uchun uni --secret konfiguratsiyasiga qo'shish qancha mijoz ulanishi mumkinligini o'zgartirmaydi. Qaror qaysi bayroqni qo'shishda emas, balki joylashtirishga nuqtadan nuqtaga ulanish yoki ko'p mijozli xizmat kerakmi deganida. Agar bir nechta qurilma mustaqil ulanishi kerak bo'lsa, himoya rejimi o'zgaradi va har bir qurilma identifikator oladi.

Ikki tomon, bitta kalit va har mijoz uchun holat yo'q: bu shakl rejimning butun hikoyasi.

Statik kalit rejimi nima uchun

Yashirin rejimda ikki tomon bitta kalit faylini baham ko'radi va bu kalit trafikni bevosita himoya qiladi. Qo'l berib ko'rishish, sertifikat almashinuvi va har mijoz uchun sessiya yo'q, chunki server ma'nosida mijozlar yo'q, faqat ikkita chekka nuqta bor.

Rejim kalit rotatsiyasining hujjatlashtirilgan jarayoni bo'lgan qat'iy mashina juftligi uchun foydali bo'lib qoladi va OpenVPN 2.6 uni aynan TLS rejimi bu holatlarni yaxshiroq xususiyatlar bilan qamrab olgani uchun eskirgan deb belgilaydi. U qila olmaydigan narsa — ulanayotgan bir qurilmani boshqasidan ajratish, chunki faylga egalik autentifikatsiyaning butun hikoyasi. Uchinchi qurilma qo'shish u bilan bir xil kalitni baham ko'rish demakdir, shundan keyin birinchi ikkitasi uni o'zidan ajrata olmaydi.

Shuning uchun ikki tomon chegarasi tizimli, o'zgartiriladigan sozlama emas.

Nega client-to-client yetishmayotgan qism emas

client-to-client ulangan mijozlar server orqali trafik almasha oladimi-yo'qmi shuni boshqaradi. U mijozlarni qabul qilmaydi, identifikator bermaydi va sozlanmagan server rejimini yaratmaydi, statik kalit konfiguratsiyasida esa u boshqaradigan mijozlar ro'yxati yo'q.

Boshqa keng tarqalgan chalkashlik tls-crypt yoki tls-auth materialiga tegishli. TLS serveri o'sha kalitlardan birini barcha mijozlar o'rtasida baham ko'rishi mumkin, chunki u har bir mijoz kimligini isbotlash o'rniga boshqaruv kanalini himoya qiladi. TLS rejimidagi umumiy boshqaruv kanali kaliti umumiy statik ma'lumot kalitidan boshqa obyekt, ikkalasi ham o'xshash ko'rinadigan fayllar sifatida kelsa ham.

Rejimlar orasidagi tanlov ikkita savolga borib taqaladi. Birdan ortiq qurilma mustaqil ulanishi kerakmi va joylashtirishga har bir qurilma uchun bekor qilish kerakmi? Ikkalasiga ham yo'q statik kalit rejimini saqlab qoladi; har qaysisiga ha TLS ga ishora qiladi. Ikkinchi mijoz o'z identifikatorisiz qabul qilinadigan uchinchi variant yo'q.

Ko'p mijozli serverni qurish

Ko'p mijozli serverga TLS rejimi, server tomonidagi sertifikat va har bir mijoz uchun identifikator kerak. Server yordamchisi manzillar hovuzini va ko'p mijozli rejimni sozlaydi, lekin TLS konfiguratsiyasini, ishonch ankerini yoki qabulni mazmunli qiladigan mijoz sertifikatlarini bermaydi.

Bitta mijozning hisob ma'lumotlarini ko'chirish o'rniga har bir qurilmani mavjud sertifikat organi orqali ro'yxatdan o'tkazing. Aynan alohida identifikatorlar bekor qilish, har bir mijoz uchun marshrutlash va foydali jurnallarni imkoniya yaratadi, bitta umumiy mijoz sertifikati esa uchalasini ham yiqitadi.

Agar joylashtirish foydalanuvchilarni tashqi katalog yoki ikkinchi omil orqali autentifikatsiya qilsa, bu dizayn o'z holicha qoladi. TLS server rejimiga o'tish tomonlarning tunnel qatlamida o'zini qanday isbotlashini hal qiladi va hisob backendini buyurmaydi. Ikki qarorni alohida saqlang, biridagi o'zgarish ikkinchisini jimgina o'zgartirmasin.

Keyin yo'naltirish siyosatini ataylab hal qiling. client-to-client foydalanuvchi fazosidagi server yo'lida mijozlar orasidagi trafikni yoqadi, buni ko'p joylashtirishlar xohlaydi, ba'zilariga esa bo'lmasligi kerak. Bu siyosat kaliti, identifikatsiya mexanizmi emas, va u qo'llanmada bo'lgani uchun emas, dizayn talab qilgani uchun yoqilishi kerak.

Mijozlar haqiqatan mustaqil ekanini tekshirish

Ikki mijozni ulang va ular turli manzillar olishini hamda server jurnalida turli identifikatorlar bilan ko'rinishini tasdiqlang. Keyin birini bekor qiling va ikkinchisi ishlashda davom etishini tasdiqlang, bu identifikatorlar baham ko'rilmaganining amaliy sinovi.

Ruxsat etilgan tomonlararo xizmatni va bloklangan qolishi kerak bo'lgan xizmatni sinang. Ikki muvaffaqiyatli kirish qabulni isbotlaydi, izolyatsiyani emas, va joylashtirish foydalanuvchi guruhlarini ajratishi kerak bo'lganda bu farq muhim.

Nihoyat, server rejimini xotiradan emas, ishlab turgan konfiguratsiyadan o'qing. Qo'shimcha parametrli statik kalit konfiguratsiyasi hali ham nuqtadan nuqtaga ulanish, va to'g'ri TLS serveri bir nechta mijoz haqiqatan alohida tomon bo'ladigan yagona tartib.

Agar jurnal har bir qurilma uchun bitta umumiy nom ko'rsatsa, muammo rejimda emas. Muammo ro'yxatga olish jarayonida.