Колдонмо: эки OpenVPN кардарын өзүнчө кошуу

Бир хосто эки кардар дагы бир сервер блогу жана экинчи порт сыяктуу угулат. Кардар чындыгында ээ болгон нерселердин баарын тизмелесеңиз, бул башка долбоорго айланат: угуучу, туннель пулу, инсандык, ишеним файлдары, маршруттар жана жокко чыгаруу графиги. Алардын бирин өткөрүп жиберсеңиз, экинчи кардар биринчинин бир бөлүгүн унчукпай мураска алат. Ар бир кардар үчүн карта түзүп, аны биринчи кардар туташканга чейин толтуруңуз.

Ар бир кардарга толук ресурстук карта дайындаңыз

Бүт топтомду бирге резервдеңиз: ачык порт, туннелдин ички тармагы, конфигурация жолу, журналдын дареги, кызмат үлгүсүнүн аталышы жана түзмөк. Аларды топ катары атоо — иштеп жаткан файлдын биринчи кардардын пулун же интерфейсин дагы эле камтыган классикалык көчүрмөсүнөн сактайт. Маанилер мисалдар, резервделген порттор эмес, ошондуктан хост эмнени колдонуп жатканын текшериңиз. Башталган кызмат толук кардар менен бирдей эмес.

Картаны конфигурациянын жанында сактаңыз жана маани өзгөргөн сайын жаңыртыңыз. Чындыктан алыстаган документ жок документтен да жаман.

Ишеним материалдарын ар бир кардардын ичинде сактаңыз

Ар бир кардар үчүн өзүнчө чыгаруучу орган чекти түшүнүүнү жеңилдетет жана кол тамганын ачкычын интернетке караган хосттон алыс кармайт. Жалпы тамыр да иштей алат, бирок жалпы анкер эки кызматты бир мүчөлүк доменине айландырбайт. Ар бир угуучу кайсы тизмектерди кабыл аларын жана кайсы кардар инсандыктарына уруксат берерин чечип, экөөнү тең жазыңыз. Бир нерсе туташканга чейин сынап-жаңылышуу менен тизмектен сертификаттарды алып салбаңыз.

Сервердин жеке ачкычы ар бир кардар үчүн корголгон файлда болушу керек, конфигурация менен бирге көчүрүлүүчү шаблон каталогунда эмес.

Тармактарды процесстер сыяктуу эле бөлүңүз

Эки порттогу эки процесс аларды бөлбөсөңүз дагы эле бир хостту жана маршруттоо таблицасын бөлүшөт. Долбоорго ишенүүдөн мурун эмне угуп жатканын ырастаңыз.

ss -lunp | grep -E '1194|1195'
openssl verify -CAfile customer-a/ca.crt customer-a/client.pem

Угуучуну текшерүү кайсы процесс ар бир ачык портко ээ экенин көрсөтөт, ал эми текшерүү кардар сертификатынын көздөлгөн анкерге тизмектелүүсүн көрсөтөт. Эки чыгуунун бири да A кардары B ички тармагына жете албастыгын далилдебейт, ошондуктан булак жана багыт саясатын, кайтаруу маршруттарын жана атайын жалпы кызматты аныктаңыз. Тармактык ат мейкиндиктери же контейнерлер маршруттоо контексттерин бөлүп, кокустук аралашууну азайтат, бирок алар толук ижарачы чек эмес өзүлөрүнөн. Коркунуч модели талап кылганда күчтүүрөөк обочолонтуу механизмин тандаңыз.

Жокко чыгарууну өткөрүп берүүдөн мурун жеткириңиз

Жокко чыгаруунун жеткирүү жолу болмойунча, сертификатты жайгаштыруу аяктаган эмес. Кошуунун бөлүгү катары CRL чыгаруучусун жана жарактуулук терезесин текшериңиз.

openssl crl -in customer-a/crl.pem -noout -lastupdate -nextupdate
systemctl status openvpn@customer-a

CRL текшерүү тизменин качан чыгарылганын жана качан бүтөрүн билдирет, ал эми кызмат абалы аны окуп жаткан үлгүнүн иштеп жатканын ырастайт. Жаңы эч нерсе жокко чыгарылбаса да, чыгаруу саясатынын графиги боюнча тизмени жаңыртыңыз, анткени мөөнөтү өткөн CRL ар бир кардардан баш тартышы мүмкүн. Окуучулар жарым-жартылай жазууга туш болбосун үчүн толук файлды жарыялаңыз жана жайгаштыруудан мурун кол тамганы текшериңиз. Чыгаруу, акыркы чекитти иштетүү жана кызматтан чыгаруу кимге таандык экенин жазыңыз, ошондо A кардарын өчүрүү Bге тоскоол болбойт.

Анан кабыл алуу жупун иштетиңиз: уруксат берилген кардар өз кызматына жетет, ал эми Aнын каттоо маалыматтары Bнин угуучусу тарабынан четке кагылат. Бул — чектин тест катары көрүнүшү.