Hânlieding: twa OpenVPN-klanten apart onboarde

Twa klanten op ien host klinkt as noch in serverblok en in twadde poarte. It wurdt in oar projekt sadree’t jo alles opnimme wat in klant eins besit: in listener, in tunnelpool, in identiteit, fertrouwensbestannen, rûtes en in weromlûkingsskema. Sla jo ien dêrfan oer, dan erft de twadde klant stil in stik fan de earste. Bou in kaart per klant en folje dy yn foardat de earste klant ferbynt.

Tawize in folsleine boarnenkaart per klant

Reservearje de hiele set byinoar: iepenbiere poarte, tunnelsubnet, konfiguraasjepaad, lochbestimming, namme fan de tsjinstynstânsje en apparaat. Se as groep beneame is wat de klassike kopy fan in wurkjend bestân foarkomt dat noch de pool of it ynterface fan de earste klant befettet. De wearden binne foarbylden, gjin reservearre poarten, dus kontrolearje wat de host al brûkt. In tsjinst dy’t start is net itselde as in klant dy’t folslein is.

Hâld de kaart njonken de konfiguraasje en fernij dy eltse kear as in wearde feroaret. Dokumintaasje dy’t fan de realiteit ôfdriuwt is slimmer as gjin.

Hâld fertrouwensmateriaal binnen elke klant

In aparte útjaanautoriteit per klant makket de grins maklik om te beredenearen en hâldt de ûndertekeningskaai bûten de host dy’t oan it ynternet bleatsteld is. In dielde woartel kin ek wurkje, mar in mienskiplik anker makket twa tsjinsten net ien lidmaatskipdomein. Bepaal hokker keatlings elke listener akseptearret en hokker kliïntidentiteiten er autorisearret, skriuw dan beide op. Strûp gjin sertifikaten út in keatling troch besykjen en flaterjen oant der wat ferbynt.

De eigen priveekaai fan de server heart yn in beskerme bestân per klant, net yn in sjabloanmap dy’t mei de konfiguraasje replikearre wurdt.

Skied de netwurken likegoed as de prosessen

Twa prosessen op twa poarten diele noch altyd in host en in routingtabel, útsein as jo se skiede. Befêstigje wat harket foardat jo it ûntwerp fertrouwe.

ss -lunp | grep -E '1194|1195'
openssl verify -CAfile customer-a/ca.crt customer-a/client.pem

De listenerkontrôle lit sjen hokker proses elke iepenbiere poarte besit, en de ferifikaasje lit sjen oft in kliïntsertifikaat oan it bedoelde anker keatst. Gjin fan beide útfier bewiist dat de klant fan A it subnet fan B net berikke kin, dus definiearje boarne- en bestimmingsbelied, weromrûtes en elke bewust dielde tsjinst. Netwurknammeromten as konteners skiede routingkonteksten en ferminderje tafallige mongen, mar se binne gjin folsleine hierdersgrins op harsels. Kies in sterker isolaasjemechanisme as it bedrigingsmodel dat freget.

Leverje weromlûking foar de oerdracht

In sertifikaatsútrulling is net folslein oant weromlûking in leveringspaad hat. Kontrolearje de útjouwer en it jildichheidsfinster fan ’e CRL as ûnderdiel fan it onboarden.

openssl crl -in customer-a/crl.pem -noout -lastupdate -nextupdate
systemctl status openvpn@customer-a

De CRL-ynspeksje rapportearret wannear’t de list útjûn is en wannear’t dy ferrint, en de tsjinststatus befêstiget dat de ynstânsje dy’t him lêst rint. Fernij de list neffens it skema fan it útjaanbelied, sels as der neat nijs weromlutsen is, want in ferrûne CRL kin elke klant ôfwize. Publisearje in folslein bestân ynstee fan lêzers in partiele skriuwing tsjinkomme te litten, en falidearje de hanttekening foar de útrulling. Registrearje wa’t it útjaan, de einpuntoperaasje en it ôftreden besit, sadat it útskeakeljen fan klant A B net fersteurt.

Rin dan it akseptaasjepaar: in tastiene klant berikt syn eigen tsjinst, en in A-bewiis wurdt troch de listener fan B wegere. Dat is de grins útdrukt as in test.