Handbuch: zwee OpenVPN-Clienten getrennt opbauen

Zwee Clienten op engem Host kléngen wéi nach ee Serverblock an en zweeten Port. Et gëtt en anere Projet, soubal dir alles oplëscht, wat e Client wierklech besëtzt: en Listener, e Tunnelpool, eng Identitéit, Vertrauensdateien, Routen an e Spärplang. Loos een dovun aus an den zweete Client ierft roueg en Deel vum éischten. Baut eng Kaart pro Client a fëllt se aus, ier den éischte Client sech verbënnt.

Gitt all Client eng komplett Ressourcenkaart

Reservéiert de ganzen Set zesummen: ëffentleche Port, Tunnelsubnetz, Konfiguratiounspad, Logdestinatioun, Numm vun der Déngschtinstanz an Apparat. Si als Grupp ze benennen ass dat, wat d’klassesch Kopie vun enger funktionéierender Datei verhënnert, déi nach de Pool oder d’Interface vum éischte Client enthält. D’Wäerter si Beispiller, net reservéiert Porten, also kontrolléiert, wat den Host schonn notzt. En Déngscht, deen ufänkt, ass net datselwecht wéi e Client, deen komplett ass.

Hält d’Kaart nieft der Konfiguratioun a maacht se aktualiséiert, wann ëmmer e Wäert sech ännert. Dokumentatioun, déi vun der Realitéit ofdrift, ass schlëmmer wéi keng.

Hält Vertrauensmaterial bannen an all Client

Eng separat Ausstellungsautoritéit pro Client mécht d’Grenz einfach ze iwwerleeën an hält de Signaturschlëssel vum Host ewech, deen dem Internet ausgesat ass. Eng gedeelte Wuerzel kann och funktionéieren, awer en gemeinsamen Anker mécht aus zwou Déngschten net eng Memberchaftsdomän. Entscheet, wéi eng Ketten all Listener akzeptéiert a wéi eng Clientidentitéiten en autoriséiert, a schreift béides op. Zitt keng Zertifikater aus enger Kett duerch Probéieren a Feeler, bis eppes sech verbënnt.

De private Schlëssel vum Server selwer gehéiert an eng geschützt Datei pro Client, net an e Virschlagverzeechnis, dat mat der Konfiguratioun replizéiert gëtt.

Trennt d’Netzwierker souwéi d’Prozesser

Zwee Prozesser op zwee Porten deelen nach ëmmer en Host an eng Routingtabell, ausser dir trennt se. Bestätegt, wat lauschtert, ier dir dem Design vertraut.

ss -lunp | grep -E '1194|1195'
openssl verify -CAfile customer-a/ca.crt customer-a/client.pem

D’Listenerkontroll weist, wéi ee Prozess all ëffentleche Port besëtzt, an d’Verifikatioun weist, ob en Clientzertifikat un den intendéierten Anker kett. Keng vun deenen Ausgabe beweist, datt dem A säi Client de Subnetz vum B net erreeche kann, also definéiert Quell- a Destinatiounspolitik, Retourrouten an all bewosst gedeelten Déngscht. Netzwierknammraim oder Containeren trennen Routingkontexter a reduzéieren zoufälleg Vermëschung, awer si sinn keng komplett Locatairegrenz fir sech eleng. Wielt e méi staarken Isolatiounsmechanismus, wann d’Drohungsmodell et verlaangt.

Liwwert d’Spär virum Iwwergab

Eng Zertifikatsausrollung ass net komplett, bis d’Spär e Liwwerwee huet. Kontrolléiert den Aussteller an d’Gültegkeetsfënster vun der CRL als Deel vum Onboarding.

openssl crl -in customer-a/crl.pem -noout -lastupdate -nextupdate
systemctl status openvpn@customer-a

D’CRL-Insppektioun mellt, wéini d’Lëscht ausgestallt gouf a wéini se ofleeft, an de Déngschtstatus bestätegt, datt d’Instanz, déi se liest, leeft. Aktualiséiert d’Lëscht no dem Zäitplang vun der Ausstellungspolitik och wann näischt Neies gespaart gouf, well eng ofgelaf CRL all Client kann ofleenen. Verëffentlecht eng komplett Datei, amplaz d’Lieser op en deelweise Schreiwen ze stoussen, a validéiert d’Signatur virun der Ausrollung. Notéiert, wien d’Ausstellung, den Endpunktbetrieb an d’Ausscheeden besëtzt, sou datt d’Ofschalten vum Client A de B net stéiert.

Duerno loosst d’Akzeptanzpaar lafen: en erlaabte Client erreecht säin eegenen Déngscht, an dem A seng Umeldung gëtt vum B sengem Listener ofgeleent. Dat ass d’Grenz, als Test ausgedréckt.