Ikki tengdosh orasidagi OpenVPN aloqasi uchun statik kalitmi yoki TLSmi?

Faqat bir-biri bilan gaplashadigan ikki mashina bu topologiyani saqlab qolgan holda ham kelishilgan trafik kalitlarini olishi mumkin. Tarmoq shakli va himoya rejimi mustaqil tanlovlardir va aynan ularni aralashtirish odamlarni ikkala demon ishlab turganda faylni almashtirib, statik sirni aylantirishga urinishga undaydi. Ishlab turgan juftlik ostida kalit faylini almashtirish hech narsani aylantirmaydi. OpenVPN 2.6 eskirgan deb belgilagan statik kalit rejimi tunnelning butun umri davomida bitta kalitni saqlaydi, shuning uchun diskdagi fayl va xotiradagi kalit faqat ikki tomon qayta ishga tushirilgandan keyin yana mos keladi. Agar avtomatik yangilanish talab bo‘lsa, himoya rejimi o‘zgarishi kerak.

Statik kalit rejimi nima qila olmaydi

Maxfiy rejimda ikkala tengdosh tunnelni bevosita shifrlaydigan va autentifikatsiya qiladigan oldindan bo‘lishilgan kalitni bo‘lishadi. Qo‘l berish yo‘q, shuning uchun hech bir tomon yangi kalit materialini taklif qilish, shaxsni isbotlash yoki operator aralashuvisiz nomuvofiqlikdan chiqish uchun mexanizmga ega emas. Ikkala xususiyat ham yetishmayotgan parametrdan emas, balki boshqaruv kanalining yo‘qligidan kelib chiqadi va hech bir konfiguratsiya bayrog‘i bu rejimga uni qo‘shmaydi.

OpenVPN 2.6 qo‘llanmasi yangi kalit yaratilmaguncha kalit saqlanishini aniq aytadi. Bu laboratoriya aloqasi yoki hujjatlashtirilgan aylantirish tartibiga ega qat’iy qurilmalar juftligi uchun maqbul, uzoq muddatli sir haqiqiy xavf bo‘lgan joyda esa nomaqbul. Faylni almashtirish ishlab turgan juftlik uchun yangi kalit yaratmaydi; bir-biriga mos kelmaydigan ikki tengdosh yaratadi. Shuning uchun faylni almashtirish aylantirishni qo‘shmasdan uzilish qo‘shadi.

Faylga egalikdan tashqari tengdosh shaxsi tushunchasi ham yo‘q. Kaliti bor har kim tengdoshdir va tunnelda hech narsa qaysi tomon qaysi ekanini qayd etmaydi, shuning uchun bekor qilish hammasi yoki hech narsa.

Aloqani qayta loyihalamasdan TLSga o‘tish

TLS rejimi boshqaruv kanalini va u bilan birga ma’lumotlar kanali kalitlarini kelishish qobiliyatini qo‘shadi. Nuqta-nuqta joylashtirishda bir tomon server rolini, ikkinchisi mijoz rolini oladi, lekin topologiya ikki tengdosh orasidagi aloqa bo‘lib qoladi: har bir tomon ikkinchisining oxirgi nuqtasini biladi va hech qanday hovuz yoki ko‘p foydalanuvchili xizmat paydo bo‘lmaydi. Rollar qo‘l berishning tafsiloti, yangi arxitektura emas.

Har bir mashinaga o‘z shaxsini bering. Har bir tomonga sertifikat va shaxsiy kalit, ikkinchisini tekshiruvchi ishonch tayanchi va kim kutilayotganini ko‘rsatuvchi tengdosh tekshiruvi qoidasi kerak. Vaqtni tejash uchun bir tengdoshning shaxsiy kalitini ikkinchisida qayta ishlatmang; bu ikki shaxsni bitta qiladi va har bir tomonni alohida bekor qilish imkoniyatini yo‘qotadi. Ro‘yxatdan o‘tish buni to‘g‘ri qilish joyidir, chunki keyin tuzatish sertifikatlarni qayta chiqarishni bildiradi.

Himoya o‘zgarganda tarmoq shartnomasini o‘zgartirmasdan saqlang. Xuddi shu tunnel manzillari, marshrutlar va ruxsat etilgan xizmatlar oldin ham, keyin ham amal qilishi kerak, shunda ko‘chirish paytidagi nosozlik yashirin marshrutlash kutilmagan hodisasi emas, himoya muammosi bo‘ladi. O‘zgartirishdan oldin manzillar va marshrutlarni yozib qo‘ying; keyin ularni solishtirish xotiradan qayta qurishdan tezroq.

Ba’zi joylashtirishlar boshqaruv kanalini ma’lumotlar kanali bilan birga aylanmaydigan o‘z statik kaliti bilan ham himoya qiladi. Bu kalit foydali yukni emas, qo‘l berishni qo‘riqlaydi, shuning uchun uning oshkor bo‘lishi trafikni emas, muzokarani fosh qiladi. Uni ma’lumotlar kanali materialidan alohida saqlang va egasi ismi ko‘rsatilgan shaxs bo‘lgan almashtirish sanasini bering. Uni aylantirish ikkala tengdoshni muvofiqlashtirilgan oynada qayta ishga tushirishni bildiradi, shuning uchun u xotiradan ko‘ra kalendar yozuviga loyiq.

Kim nimani yangilaydi va qachon

TLS rejimida yangilanish konfiguratsiya qilingan chegaralar bilan boshqariladi: vaqt oralig‘i, baytlar soni yoki paketlar soni. Hujjatlashtirilgan vaqt nazorati ko‘pchilik joylashtirishlar tayanadigan narsadir va ikki tengdosh orasidagi pastroq samarali qiymat almashtirishni boshlashi mumkin, shuning uchun uni faqat bir tomonda oshirish hodisani to‘xtatmaydi. Hajmga asoslangan chegaralar band aloqa kalitni soatdan ancha oldin tugatishi mumkinligi uchun mavjud. Hech bir chegara salomatlik tekshiruvi emas va hech biri yangilanish muvaffaqiyatli bo‘lganini aytmaydi.

Shuning uchun takrorlanuvchi qayta muzokarani bitta konfiguratsiya faylidan diagnostika qilish chalg‘ituvchi. Ikki tengdoshdagi sozlamalarni o‘qing, so‘ng nosozlik deb taxmin qilish o‘rniga jurnaldagi o‘tishni ko‘ring. Toza yakunlangan yangilanish boshqaruv kanali trafigining qisqa portlashiga o‘xshaydi, uzilishga emas.

Obyektlarni xayolingizda alohida saqlang. Sertifikat uzoq muddatli shaxsni isbotlaydi va siz nazorat qiladigan jadval bo‘yicha almashtiriladi. Ma’lumotlar kanali kaliti avtomatik yangilanadi va alohida autentifikatsiya almashinuvi, agar joylashtirish uni talab qilsa, hisob siyosatiga amal qiladi va keyingi almashinuvlar uchun o‘z kelishuvlarini talab qilishi mumkin.

Yangilanishni butunlay o‘chirish, intervalni nolga qo‘yish orqali, shovqinli jurnal uchun yechim emas. Bu sog‘lom hayot sikli hodisasini doimiy kalitga aylantiradi, bu sizni tark etmoqchi bo‘lgan xususiyatga qaytaradi.

O‘zgarishni qabul qilish

Yangi konfiguratsiyani o‘rnatilgan versiyaning qo‘llab-quvvatlanadigan namunasidan quring, algoritmlari va fayl yo‘llari boshqa joydan meros qolgan eski minimal parchadan emas. O‘tishni ikki tengdosh birga o‘zgaradigan qilib muvofiqlashtiring va bir tomon ko‘tarilmasa, tasdiqlangan tiklash yo‘lini saqlang. Orqaga qaytarishni sinash uchun uzilish kutish o‘rniga aloqani ataylab tushiring. Mashq qilgan qaytarishingiz tasvirlanganidan qimmatliroq.

Uch narsani sinang: boshlang‘ich shaxs tekshiruvi muvaffaqiyatli, mo‘ljallangan dastur oqimi ishlaydi va nazorat qilinadigan yangilanish trafikni yo‘qotmasdan sodir bo‘ladi. So‘ng jurnaldagi o‘tishni u haqiqatda nimani isbotlashi nuqtai nazaridan o‘qing: yangi kalit identifikatori tengdoshlar almashtirishni tugatganini bildiradi, tunnel qayta ulanganini emas. Buni bir qadamning dalili deb biling va ko‘chirishni tugagan deb e’lon qilishdan oldin trafik hisoblagichlarini tekshiring.

Nol uzilish va’dasi yashiradigan narsa — siz hali ko‘rmagan nosozlik. Muvaffaqiyatsiz yangilanish, muddati tugayotgan sertifikat yoki yo‘l nuqsoni aloqani hanuz buzishi mumkin va ularning hech biri toza sinov yurishi bilan istisno qilinmaydi. Loyihalashga arziydigan xususiyat torroq va foydaliroq: odatiy kalit almashtirish qo‘lda fayl almashtirish bo‘lishdan to‘xtaydi.