Handbók: tveir OpenVPN-viðskiptavinir teknir inn hvor fyrir sig

Tveir viðskiptavinir á einum host hljóma eins og einn servarblokk í viðbót og annar port. Það verður annað verkefni um leið og þú skráir allt sem viðskiptavinur á í raun: hlustandi, tunlulaug, auðkenni, traustskrár, leiðir og afturköllunaráætlun. Slepptu einu þeirra og hinn viðskiptavinurinn erfur hljóðlega hluta af þeim fyrri. Byggðu kort fyrir hvern viðskiptavin og fylltu það út áður en fyrsti biðlarinn tengist.

Úthlutaðu fullu auðlindakorti fyrir hvern viðskiptavin

Taktu allt settið frá saman: opinbert port, tunlunet, stillingarslóð, áfangastaður skráa, nafn þjónustutburðar og tæki. Að nefna þau sem hóp er það sem kemur í veg fyrir klassíska afritið af vinnuskrá sem inniheldur enn laug eða viðmót fyrsta viðskiptavinarins. Gildin eru dæmi, ekki frátekin port, svo athugaðu hvað hostið notar þegar. Þjónusta sem ræsist er ekki það sama og viðskiptavinur sem er fullbúinn.

Haltu kortinu við hlið stillingarinnar og uppfærðu það í hvert sinn sem gildi breytist. Skjöl sem fjarlægjast raunveruleikann eru verri en engin.

Haltu traustefni inni í hverjum viðskiptavin

Sérstakt útgáfuyfirvald fyrir hvern viðskiptavin gerir landamærin auðveld í rökhugsun og heldur undirritunarlyklinum fjarri hostinu sem snýr að internetinu. Sameiginleg rót getur líka virkað, en sameiginlegt akker gerir tvær þjónustur ekki að einu aðildarléni. Ákveddu hvaða keðjur hver hlustandi samþykkir og hvaða biðlaraauðkenni hann heimilar, skrifaðu svo bæði niður. Fjarlægðu ekki skírteini úr keðju með tilraunum og villum þar til eitthvað tengist.

Einkalykill þjónsins sjálfs á heima í varðri skrá fyrir hvern viðskiptavin, ekki í sniðmátaskrá sem er afrituð með stillingunni.

Aðskildu netin jafnt og ferlin

Tvö ferli á tveimur portum deila enn hosti og leiðatöflu nema þú aðskiljir þau. Staðfestu hvað hlustar áður en þú treystir hönnuninni.

ss -lunp | grep -E '1194|1195'
openssl verify -CAfile customer-a/ca.crt customer-a/client.pem

Hlustandaprófið sýnir hvaða ferli á hvert opinbert port, og sannprófunin sýnir hvort biðlaraskírteini keðjist að fyrirhuguðu akkeri. Hvorug úttakið sannar að biðlari A geti ekki náð neti B, svo skilgreindu stefnu uppruna og áfangastaðar, afturleiðir og hverja viljandi sameiginlega þjónustu. Netnafnrými eða gámar aðskilja leiðasamhengi og draga úr tilviljunarkenndri blöndun, en þau eru ekki fullbúið leigjandamörk sjálf. Veldu sterkari einangrunaraðferð þegar ógnarlíkanið krefst þess.

Afhentu afturköllun fyrir yfirfærslu

Uppsetning skírteinis er ekki fullbúin fyrr en afturköllun hefur afhendingarleið. Athugaðu útgefanda CRL og gildistímafrest sem hluta af innleiðingunni.

openssl crl -in customer-a/crl.pem -noout -lastupdate -nextupdate
systemctl status openvpn@customer-a

CRL-skoðunin greinir frá hvenær listinn var gefinn út og hvenær hann rennur út, og þjónustustaðan staðfestir að tburðurinn sem les hann sé í gangi. Endurnýjaðu listann samkvæmt áætlun útgáfustefnunnar þótt ekkert nýtt hafi verið afturkallað, því útrunninn CRL getur hafnað hverjum biðlara. Birtu fullbúna skrá í stað þess að láta lesendur mæta hlutaskrifi, og staðfestu undirskriftina fyrir uppsetningu. Skráðu hver á útgáfu, rekstur endapunkts og brotthvarf, svo slokknun viðskiptavinar A trufli ekki B.

Keyrðu svo samþykkispar: leyfður biðlari nær eigin þjónustu, og skilríki A er hafnað af hlustanda B. Það eru landamærin sett fram sem próf.