Darba instrukcija: divu OpenVPN klientu atsevišķa ieviešana

Divi klienti vienā uzņēmējā izklausās kā vēl viens servera bloks un otra ports. Tas kļūst par citu projektu, tiklīdz uzskaiti visu, kas klientam patiešām pieder: klausītājs, tuneļa pūls, identitāte, uzticības faili, maršruti un atsaukšanas grafiks. Izlaid vienu no tiem un otrais klients klusi manto daļu no pirmā. Izveido karti katram klientam un aizpildi to pirms pirmā klienta savienojuma.

Piešķir katram klientam pilnu resursu karti

Rezervē visu kopumu kopā: publisko portu, tuneļa apakštīklu, konfigurācijas ceļu, žurnālu galamērķi, pakalpojuma instancēs nosaukumu un ierīci. To nosaukšana par grupu ir tas, kas novērš klasisko strādājoša faila kopiju, kurā vēl joprojām ir pirmā klienta pūls vai saskarne. Vērtības ir piemēri, nevis rezervēti porti, tāpēc pārbaudi, ko uzņēmējs jau izmanto. Pakalpojums, kas startē, nav tas pats, kas pilnīgs klients.

Glabā karti blakus konfigurācijai un atjaunini to ikreiz, kad vērtība mainās. Dokumentācija, kas attālinās no realitātes, ir sliktāka par tās neesamību.

Glabā uzticības materiālu katra klienta iekšienē

Atsevišķa izdevējiestāde katram klientam padara robežu viegli saprotamu un tur parakstīšanas atslēgu ārpus internetam atvērtā uzņēmēja. Kopīga sakne arī var darboties, bet kopīgs enkurs nepārvērš divus pakalpojumus vienā dalības domēnā. Izlem, kuras ķēdes katrs klausītājs pieņem un kādas klienta identitātes tas pilnvaro, pēc tam pieraksti abus. Nenoņem sertifikātus no ķēdes ar mēģinājumu un kļūdu palīdzību, līdz kaut kas savienojas.

Servera paša privātā atslēga pieder aizsargātam failam katram klientam, nevis veidņu direktorijai, kas tiek replicēta kopā ar konfigurāciju.

Atdalī tīklus tāpat kā procesus

Divi procesi divos portos joprojām dala uzņēmēju un maršrutēšanas tabulu, ja vien tos neatdalīsi. Apstiprini, kas klausās, pirms uzticies dizainam.

ss -lunp | grep -E '1194|1195'
openssl verify -CAfile customer-a/ca.crt customer-a/client.pem

Klausītāja pārbaude parāda, kurš process pārvalda katru publisko portu, un verifikācija parāda, vai klienta sertifikāts saistās ar paredzēto enkursu. Neviens no izvadiem nepierāda, ka A klients nevar sasniegt B apakštīklu, tāpēc definē avota un galamērķa politiku, atgriešanās maršrutus un jebkuru apzināti kopīgu pakalpojumu. Tīkla nosaukumtelpas vai konteineri atdala maršrutēšanas kontekstus un samazina nejaušu sajaukšanos, bet tie nav pilnīga nomnieka robeža paši par sevi. Izvēlies spēcīgāku izolācijas mehānismu, kad to prasa draudu modelis.

Piegādā atsaukšanu pirms nodošanas

Sertifikāta izvietošana nav pabeigta, kamēr atsaukšanai nav piegādes ceļa. Pārbaudi CRL izdevēju un derīguma logu kā ieviešanas daļu.

openssl crl -in customer-a/crl.pem -noout -lastupdate -nextupdate
systemctl status openvpn@customer-a

CRL pārbaude ziņo, kad saraksts izdots un kad tas beidzas, un pakalpojuma statuss apstiprina, ka to lasošā instance darbojas. Atjaunini sarakstu saskaņā ar izdevējpolitikas grafiku arī tad, kad nekas jauns nav atsaukts, jo beidzies CRL var noraidīt katru klientu. Publicē pilnu failu, nevis ļauj lasītājiem saskarties ar daļēju rakstīšanu, un pirms izvietošanas validē parakstu. Reģistrē, kam pieder izdošana, galapunkta darbība un izvešana, lai A klienta izslēgšana netraucētu B.

Pēc tam palaid pieņemšanas pāri: atļauts klients sasniedz savu pakalpojumu, un A akreditācijas dati tiek noraidīti no B klausītāja. Tā ir robeža, izteikta kā tests.