Eskuliburu praktikoa: bi OpenVPN bezero bereizita sartzea

Bi bezero ostalari bakarrean beste zerbitzari-bloke bat eta bigarren ataka bat ematen du. Beste proiektu bat bihurtzen da bezeroak benetan duen guztia zerrendatzean: entzule bat, tunel-pool bat, identitate bat, konfiantza-fitxategiak, ibilbideak eta errebokazio-egutegi bat. Horietako bat saltatu eta bigarren bezeroak isilka lehenaren zati bat oinordetzen du. Eraiki txartel bat bezero bakoitzeko eta bete ezazu lehen bezeroa konektatu aurretik.

Esleitu baliabide-txartel osoa bezero bakoitzeko

Erreserbatu multzo osoa batera: ataka publikoa, tunelaren azpisarea, konfigurazio-bidea, erregistroen helmuga, zerbitzu-instantziaren izena eta gailua. Talde gisa izendatzea da lanean ari den fitxategi baten kopia klasikoa eragozten duena, lehen bezeroaren pool edo interfazea oraindik baitauka. Balioak adibideak dira, ez ataka erreserbatuak, beraz egiaztatu ostalariak jada zer erabiltzen duen. Abiatzen den zerbitzu bat ez da bezero oso bat.

Eduki txartela konfigurazioaren ondoan eta eguneratu balio bat aldatzen den bakoitzean. Errealitatetik aldentzen den dokumentazioa ez egotea baino okerragoa da.

Eduki konfiantza-materiala bezero bakoitzaren barruan

Bezero bakoitzeko jaulkitze-agintaritza bereizi batek muga aztertzeko erraz bihurtzen du eta sinadura-giltza interneten esposatutako ostalaritik kanpo uzten du. Erro partekatu batek ere funtziona dezake, baina aingura komun batek ez ditu bi zerbitzu kidego-domeinu bakarrera bihurtzen. Erabaki entzule bakoitzak zein kate onartzen dituen eta zein bezero-identitate baimendu, eta idatzi biak. Ez kendu ziurtagiriak kate batetik proba eta hutsegite bidez, zerbait konektatu arte.

Zerbitzariaren giltza pribatua bezero bakoitzeko fitxategi babestu batean dago, ez konfigurazioarekin batera errepikatzen den txantiloi-direktorioan.

Bereizi sareak prozesuak bezala

Bi prozesu bi atakatan oraindik ostalari eta bideratze-taula bat partekatzen dute, bereizi ezean. Berretsi zer entzuten ari den diseinuan fidatu aurretik.

ss -lunp | grep -E '1194|1195'
openssl verify -CAfile customer-a/ca.crt customer-a/client.pem

Entzulearen egiaztapenak erakusten du zein prozesuk duen ataka publiko bakoitza, eta egiaztapenak erakusten du bezero-ziurtagiri bat aurreikusitako aingurara kateatzen den. Irteera batek ere ez du frogatzen A bezeroak B azpisarera iritsi ezin daitekeenik, beraz definitu iturri- eta helmuga-politika, itzulera-ibilbideak eta nahita partekatutako zerbitzua. Sare-izen-espazioek edo edukiontziek bideratze-testuinguruak bereizten dituzte eta nahigabeko nahasketa murrizten dute, baina ez dira errentari-muga osoa berez. Aukeratu isolamendu-mekanismo sendoagoa mehatxu-ereduak eskatzen duenean.

Eman errebokazioa eskualdaketa aurretik

Ziurtagiri-hedapen bat ez da osoa errebokazioak banaketa-bide bat izan arte. Egiaztatu CRLaren jaulkitzailea eta baliozkotasun-leihoa sartzearen parte gisa.

openssl crl -in customer-a/crl.pem -noout -lastupdate -nextupdate
systemctl status openvpn@customer-a

CRLaren ikuskatzeak zerrenda noiz jaulki zen eta noiz iraungiko den jakinarazten du, eta zerbitzuaren egoerak irakurtzen duen instantzia martxan dagoela berresten du. Freskatu zerrenda jaulkitze-politikaren egutegiaren arabera, ezer berririk errebokatu ez bada ere, CRL iraungiak bezero guztiak bazter ditzakeelako. Argitaratu fitxategi oso bat irakurleek idazketa partziala topa dezaten utzi beharrean, eta balidatu sinadura hedatu aurretik. Erregistratu nor den jaulkitzearen, amaierako puntuaren eragiketaren eta erretiroaren jabe, A bezeroa itzaltzeak B ez dezan eragotzi.

Ondoren exekutatu onarpen-bikotea: baimendutako bezero bat bere zerbitzura iristen da, eta Aren kredentziala Bko entzuleak ukatzen du. Hori da muga, proba gisa adierazia.