Manual: incorporar dos clients OpenVPN per separat

Dos clients en un sol amfitrió sonen com un bloc de servidor més i un segon port. Es converteix en un projecte diferent quan enumeres tot el que un client posseeix realment: un oient, un pool de túnels, una identitat, fitxers de confiança, rutes i un calendari de revocació. Omet un d’aquests i el segon client hereta silenciosament una part del primer. Construeix una fitxa per client i omple-la abans que es connecti el primer client.

Assigna una fitxa de recursos completa per client

Reserva tot el conjunt alhora: port públic, subxarxa del túnel, camí de configuració, destinació dels registres, nom de la instància del servei i dispositiu. Anomenar-los com a grup és el que evita la còpia clàssica d’un fitxer que funciona i que encara conté el pool o la interfície del primer client. Els valors són exemples, no ports reservats, així que comprova què fa servir ja l’amfitrió. Un servei que arrenca no és el mateix que un client complet.

Mantén la fitxa al costat de la configuració i actualitza-la sempre que canviï un valor. La documentació que s’allunya de la realitat és pitjor que no tenir-ne.

Mantén el material de confiança dins de cada client

Una autoritat emissora separada per client fa que el límit sigui fàcil de raonar i manté la clau de signatura fora de l’amfitrió exposat a Internet. Una arrel compartida també pot funcionar, però un ancoratge comú no converteix dos serveis en un domini de pertinença. Decideix quines cadenes accepta cada oient i quines identitats de client autoritza, i després escriu les dues coses. No treguis certificats d’una cadena provant i fallant fins que alguna cosa es connecti.

La clau privada del servidor pertany a un fitxer protegit per client, no a un directori de plantilles que es replica juntament amb la configuració.

Separa les xarxes així com els processos

Dos processos en dos ports encara comparteixen un amfitrió i una taula d’encaminament si no els separes. Confirma què escolta abans de confiar en el disseny.

ss -lunp | grep -E '1194|1195'
openssl verify -CAfile customer-a/ca.crt customer-a/client.pem

La comprovació de l’oient mostra quin procés posseeix cada port públic, i la verificació mostra si un certificat de client encadena amb l’ancoratge previst. Cap de les dues sortides demostra que el client d’A no pugui arribar a la subxarxa de B, així que defineix la política d’origen i destinació, les rutes de retorn i qualsevol servei compartit deliberadament. Els espais de noms de xarxa o els contenidors separen contextos d’encaminament i redueixen la barreja accidental, però no són un límit complet de llogater per si sols. Tria un mecanisme d’aïllament més fort quan el model d’amenaces ho demani.

Lliura la revocació abans del traspàs

Un desplegament de certificats no està complet fins que la revocació té un camí de lliurament. Comprova l’emissor i la finestra de validesa de la CRL com a part de la incorporació.

openssl crl -in customer-a/crl.pem -noout -lastupdate -nextupdate
systemctl status openvpn@customer-a

La inspecció de la CRL informa de quan es va emetre la llista i quan caduca, i l’estat del servei confirma que la instància que la llegeix s’executa. Refresca la llista segons el calendari de la política d’emissió encara que no s’hagi revocat res de nou, perquè una CRL caducada pot rebutjar tots els clients. Publica un fitxer complet en lloc de deixar que els lectors trobin una escriptura parcial, i valida la signatura abans del desplegament. Registra qui posseeix l’emissió, l’operació del punt final i la retirada, perquè aturar el client A no pertorbi B.

Després executa la parella d’acceptació: un client permès arriba al seu propi servei, i una credencial d’A és rebutjada per l’oient de B. Aquest és el límit expressat com a prova.