Нұсқаулық: екі OpenVPN клиентін бөлек қосу

Бір хосттағы екі клиент тағы бір сервер блогы мен екінші порт сияқты естіледі. Клиент шын мәнінде иеленетін барлық нәрсені тізіп шыққанда, бұл басқа жобаға айналады: тыңдаушы, туннель пулы, сәйкестік, сенім файлдары, маршруттар және күшін жою кестесі. Солардың біреуін өткізіп жіберсеңіз, екінші клиент біріншісінің бір бөлігін үнсіз мұраға алады. Әр клиент үшін карта жасап, оны бірінші клиент қосылмай тұрып толтырыңыз.

Әр клиентке толық ресурстық карта тағайындаңыз

Бүкіл жиынтықты бірге резервтеңіз: ашық порт, туннель ішкі желісі, конфигурация жолы, журнал мақсаты, қызмет данасының атауы және құрылғы. Оларды топ ретінде атау — жұмыс істеп тұрған файлдың бірінші клиенттің пулын немесе интерфейсін әлі де қамтитын классикалық көшірмесін болдырмайтын нәрсе. Мәндер мысалдар, резервтелген порттар емес, сондықтан хосттың қазірдің өзінде нені қолданатынын тексеріңіз. Іске қосылған қызмет толық клиентпен бірдей емес.

Картаны конфигурацияның жанында ұстаңыз және мән өзгерген сайын жаңартыңыз. Шындықтан алшақтаған құжаттама жоқ құжаттамадан да нашар.

Сенім материалын әр клиенттің ішінде ұстаңыз

Әр клиент үшін бөлек шығарушы орган шекараны түсінуді жеңілдетеді және қолтаңба кілтін интернетке қараған хосттан алыс ұстайды. Ортақ түбір де жұмыс істей алады, бірақ ортақ анкер екі қызметті бір мүшелік доменге айналдырмайды. Әр тыңдаушы қандай тізбектерді қабылдайтынын және қандай клиент сәйкестіктеріне рұқсат беретінін шешіп, екеуін де жазыңыз. Бірдеңе қосылғанша сертификаттарды тізбектен сынау-қателесу арқылы алып тастамаңыз.

Сервердің жеке кілті әр клиент үшін қорғалған файлда болуы керек, конфигурациямен бірге көшірілетін үлгі каталогында емес.

Желілерді де процестер сияқты бөлектеңіз

Екі порттағы екі процесс оларды бөлмесеңіз, әлі де бір хост пен маршруттау кестесін бөліседі. Дизайнға сенбес бұрын ненің тыңдап тұрғанын растаңыз.

ss -lunp | grep -E '1194|1195'
openssl verify -CAfile customer-a/ca.crt customer-a/client.pem

Тыңдаушыны тексеру қай процестің әр ашық портқа ие екенін көрсетеді, ал тексеру клиент сертификатының көзделген анкерге тізбектелетінін көрсетеді. Екі шығыстың ешқайсысы A клиентінің B ішкі желісіне жете алмайтынын дәлелдемейді, сондықтан дереккөз бен мақсат саясатын, қайтару маршруттарын және әдейі ортақ қызметті анықтаңыз. Желілік ат кеңістіктері немесе контейнерлер маршруттау контексттерін бөледі және кездейсоқ араласуды азайтады, бірақ олар толық жалдаушы шекарасы емес өздігінен. Қауіп моделі талап еткенде неғұрлым күшті оқшаулау механизмін таңдаңыз.

Күшін жоюды тапсырудан бұрын жеткізіңіз

Күшін жоюдың жеткізу жолы болмайынша, сертификатты орналастыру аяқталмаған. Қосылудың бөлігі ретінде CRL шығарушысын және жарамдылық терезесін тексеріңіз.

openssl crl -in customer-a/crl.pem -noout -lastupdate -nextupdate
systemctl status openvpn@customer-a

CRL тексеруі тізімнің қашан шығарылғанын және қашан бітетінін хабарлайды, ал қызмет күйі оны оқып тұрған дананың жұмыс істеп тұрғанын растайды. Жаңа ештеңе жойылмаса да, шығару саясатының кестесі бойынша тізімді жаңартыңыз, себебі мерзімі өткен CRL әр клиенттен бас тарта алады. Оқырмандар ішінара жазуға тап болмауы үшін толық файлды жариялаңыз және орналастыру алдында қолтаңбаны растаңыз. Шығару, соңғы нүктені пайдалану және қызметтен шығару кімге тиесілі екенін жазыңыз, сонда A клиентін өшіру B-ге кедергі келтірмейді.

Содан кейін қабылдау жұбын іске қосыңыз: рұқсат етілген клиент өз қызметіне жетеді, ал A тіркелгі деректері B тыңдаушысы тарапынан қабылданбайды. Бұл — шекараның тест ретіндегі көрінісі.