Llawlyfr gweithredu: arwain dau gleient OpenVPN ar wahân

Mae dau gleient ar un gwesteiwr yn swnio fel un bloc gweinydd arall a phorth arall. Daw’n brosiect gwahanol unwaith y byddwch yn rhestru popeth y mae cleient yn berchen arno mewn gwirionedd: gwrandäwr, pwll twneli, hunaniaeth, ffeiliau ymddiriedaeth, llwybrau ac amserlen diddymu. Hepgorwch un o’r rhain a bydd yr ail gleient yn etifeddu darn o’r cyntaf yn dawel. Adeiladwch gerdyn ar gyfer pob cleient a’i lenwi cyn i’r cleient cyntaf gysylltu â’r gweinydd.

Neilltuwch gerdyn adnoddau cyflawn i bob cleient

Cadwch y set gyfan gyda’i gilydd: porth cyhoeddus, is-rwydwaith twnel, llwybr ffurfweddu, cyrchfan logiau, enw enghraifft y gwasanaeth a’r ddyfais. Enwi’r rhain fel grŵp sy’n atal y copi clasurol o ffeil weithredol sy’n dal i gynnwys pwll neu ryngwyneb y cleient cyntaf. Enghreifftiau yw’r gwerthoedd, nid porthladdoedd a gadwyd, felly gwiriwch beth mae’r gwesteiwr eisoes yn ei ddefnyddio. Nid yw gwasanaeth sy’n cychwyn yr un peth â chleient sy’n gyflawn.

Cadwch y cerdyn wrth ymyl y ffurfweddiad a’i ddiweddaru pryd bynnag y newid gwerth. Mae dogfennaeth sy’n crwydro oddi wrth realiti yn waeth na dim.

Cadwch ddeunydd ymddiriedaeth y tu mewn i bob cleient

Mae awdurdod dyroddi ar wahân i bob cleient yn gwneud y ffin yn hawdd i’w rhesymu ac yn cadw’r allwedd lofnodi oddi ar y gwesteiwr sy’n wynebu’r rhyngrwyd. Gall gwreiddyn a rennir weithio hefyd, ond nid yw angor cyffredin yn troi dau wasanaeth yn un parth aelodaeth. Penderfynwch pa gadwyni y mae pob gwrandäwr yn eu derbyn a pha hunaniaethau cleient y mae’n eu hawdurdodi, yna ysgrifennwch y ddau. Peidiwch â chipio tystysgrifau o gadwyn drwy brofi a methu nes bod rhywbeth yn cysylltu.

Mae allwedd breifat y gweinydd ei hun yn perthyn mewn ffeil warchodedig i bob cleient, nid mewn cyfeiriadur templed sy’n cael ei ailgopïo gyda’r ffurfweddiad.

Gwahanwch y rhwydweithiau yn ogystal â’r prosesau

Mae dau broses ar ddau borth yn dal i rannu gwesteiwr a thabl llwybro oni bai eich bod yn eu gwahanu. Cadarnhewch beth sy’n gwrando cyn ymddiried yn y dyluniad.

ss -lunp | grep -E '1194|1195'
openssl verify -CAfile customer-a/ca.crt customer-a/client.pem

Mae’r gwiriad gwrandäwr yn dangos pa broses sy’n berchen ar bob porth cyhoeddus, ac mae’r gwiriad yn dangos a yw tystysgrif cleient yn cadwyno i’r angor bwriadedig. Nid yw’r naill allbwn na’r llall yn profi na all cleient A gyrraedd is-rwydwaith B, felly diffiniwch bolisi ffynhonnell a chyrchfan, llwybrau dychwelyd ac unrhyw wasanaeth a rennir yn fwriadol. Mae gofodau enw rhwydwaith neu gynwysyddion yn gwahanu cyd-destunau llwybro ac yn lleihau cymysgu damweiniol, ond nid ydynt yn ffin denant gyflawn ar eu pen eu hunain. Dewiswch fecanwaith ynysu cryfach pan fo’r model bygythiad yn galw amdano.

Dosbarthwch ddiddymu cyn trosglwyddo

Nid yw defnydd tystysgrif yn gyflawn nes bod gan ddiddymu lwybr dosbarthu. Gwiriwch ddyroddwr y CRL a’r ffenestr ddilysrwydd fel rhan o’r broses arwain.

openssl crl -in customer-a/crl.pem -noout -lastupdate -nextupdate
systemctl status openvpn@customer-a

Mae archwiliad y CRL yn adrodd pryd y dyroddwyd y rhestr a phryd y daw i ben, ac mae statws y gwasanaeth yn cadarnhau bod yr enghraifft sy’n ei darllen yn rhedeg. Adnewyddwch y rhestr yn ôl amserlen y polisi dyroddi hyd yn oed pan na ddiddymwyd dim newydd, oherwydd gall CRL wedi dod i ben wrthod pob cleient. Cyhoeddwch ffeil gyflawn yn lle gadael i ddarllenwyr ddod ar draws ysgrifen rannol, a dilyswch y llofnod cyn ei defnyddio. Cofnodwch pwy sy’n berchen ar ddyroddi, gweithredu’r pwynt terfynol ac ymddeol, fel nad yw cau cleient A yn tarfu ar B.

Yna rhedwch y pâr derbyn: mae cleient a ganiateir yn cyrraedd ei wasanaeth ei hun, ac mae tystlythyrau A yn cael eu gwrthod gan wrandäwr B. Dyna’r ffin wedi’i mynegi fel prawf.