2つのOpenVPNクライアント（AとB）に共通の設定があり、どちらもサーバーSに接続されています。これ問題は、各クライアントにサーバーとの暗号化されたチャネルがあるが、サーバーが暗号化を削除してトラフィックを別のクライアントにルーティングすることです。私が知っているように、サーバーが破損した場合、攻撃者はS内でAとBの間の暗号化されていないトラフィックを見ることができます。私は正しいですか？それでは、この場合、Telnet（たとえば）を使用することを安全にするために、AとBの間で一種のエンドツーエンド暗号化を強制する方法は何ですか？
答え1
原則として、タマネギ層でOpenVPNを使用することが可能です。
レイヤ1（L1）を変更せずに維持する必要があるとします。
- SはまだL1オープンVPNサーバーです。
- AとBはL1サーバーSのL1クライアントとして機能します。
L1の下に次のようにL2を追加します。
- AをL2オープンVPNサーバーとして使用
- Bは、L2サーバーAのL2オープンVPNクライアントとして機能します。
この設定では、A と B がすべての機密情報を L2 経由で送信すると仮定すると、破損した S L1 サーバーは L2 トラフィックを盗聴できません。
答え2
はい、サーバーが損傷するとトラフィックも危険になります。あなたが要求するのは、ルータではなくホスト間にセキュアなチャネルを持つことです。つまり、ホストにトンネルを設定し（1つはサーバー、もう1つはクライアントへ）、ポート転送を設定する必要があります（サーバーがNATの次のどこかにあります）。
答え3
簡単な答えは次のとおりです。プレーンテキストトラフィックを読み取るために破損したメディエーションシステムを偽装する場合は、メディエーションシステムを使用しないでください。このように通信するには、各システムペア間に（ルーティングされていない）ポイントツーポイントVPNトンネルを確立する必要があります。もちろん、各トンネルごとに証明書または他の事前共有鍵を使用する必要があります。