ഓപ്പറേറ്റിംഗ് ഗൈഡ്: രണ്ട് OpenVPN ഉപഭോക്താക്കളെ വെവ്വേറെ ഓൺബോർഡ് ചെയ്യൽ

ഒരു ഹോസ്റ്റിൽ രണ്ട് ഉപഭോക്താക്കൾ എന്നത് ഒരു സർവർ ബ്ലോക്കും രണ്ടാമതൊരു പോർട്ടും കൂടിയതുപോലെ തോന്നും. ഉപഭോക്താവ് യഥാർത്ഥത്തിൽ ഉടമസ്ഥതയിലുള്ള എല്ലാം എണ്ണിത്തുടങ്ങുമ്പോൾ ഇത് മറ്റൊരു പ്രോജക്ടാകുന്നു: ഒരു ലിസണർ, ഒരു ടണൽ പൂൾ, ഒരു ഐഡന്റിറ്റി, ട്രസ്റ്റ് ഫയലുകൾ, റൂട്ടുകൾ, റദ്ദാക്കൽ ഷെഡ്യൂൾ. ഇവയിലൊന്ന് ഒഴിവാക്കിയാൽ രണ്ടാമത്തെ ഉപഭോക്താവ് ആദ്യത്തേതിന്റെ ഒരു ഭാഗം നിശബ്ദമായി അവകാശമാക്കും. ഓരോ ഉപഭോക്താവിനും ഒരു കാർഡ് നിർമ്മിച്ച് ആദ്യ ക്ലയന്റ് ബന്ധിപ്പിക്കുന്നതിന് മുൻപ് അത് പൂരിപ്പിക്കുക.

ഓരോ ഉപഭോക്താവിനും പൂർണ്ണമായ ഒരു റിസോഴ്സ് കാർഡ് അനുവദിക്കുക

മുഴുവൻ സെറ്റും ഒരുമിച്ച് റിസർവ് ചെയ്യുക: പൊതു പോർട്ട്, ടണൽ സബ്നെറ്റ്, കോൺഫിഗറേഷൻ പാത, ലോഗ് ലക്ഷ്യം, സേവന ഇൻസ്റ്റൻസിന്റെ പേര്, ഉപകരണം. ഇവയെ ഒരു ഗ്രൂപ്പായി നാമകരണം ചെയ്യുന്നതാണ് ആദ്യ ഉപഭോക്താവിന്റെ പൂളോ ഇന്റർഫേസോ ഇപ്പോഴും ഉള്ള ഒരു പ്രവർത്തിക്കുന്ന ഫയലിന്റെ പതിവ് പകർപ്പ് തടയുന്നത്. മൂല്യങ്ങൾ ഉദാഹരണങ്ങളാണ്, റിസർവ് ചെയ്ത പോർട്ടുകളല്ല, അതിനാൽ ഹോസ്റ്റ് ഇതിനകം എന്താണ് ഉപയോഗിക്കുന്നതെന്ന് പരിശോധിക്കുക. ആരംഭിക്കുന്ന ഒരു സേവനം പൂർണ്ണമായ ഉപഭോക്താവിന് തുല്യമല്ല.

കാർഡ് കോൺഫിഗറേഷന്റെ അടുത്ത് സൂക്ഷിക്കുക, മൂല്യം മാറുമ്പോഴെല്ലാം അത് അപ്ഡേറ്റ് ചെയ്യുക. യാഥാർത്ഥ്യത്തിൽ നിന്ന് അകലുന്ന ഡോക്യുമെന്റേഷൻ ഇല്ലാത്തതിനേക്കാൾ മോശമാണ്.

ട്രസ്റ്റ് മെറ്റീരിയൽ ഓരോ ഉപഭോക്താവിനുള്ളിലും സൂക്ഷിക്കുക

ഓരോ ഉപഭോക്താവിനും വെവ്വേറെ ഇഷ്യൂയിംഗ് അതോറിറ്റി ഉണ്ടെങ്കിൽ അതിർത്തി ചിന്തിക്കാൻ എളുപ്പമാകും, ഒപ്പിടൽ കീ ഇന്റർനെറ്റിന് വിധേയമായ ഹോസ്റ്റിൽ നിന്ന് അകറ്റി നിർത്താം. പങ്കിട്ട റൂട്ടും പ്രവർത്തിക്കാം, പക്ഷേ പൊതുവായ ആങ്കർ രണ്ട് സേവനങ്ങളെ ഒരു അംഗത്വ ഡൊമെയ്നാക്കി മാറ്റുന്നില്ല. ഓരോ ലിസണറും ഏത് ചെയിനുകൾ സ്വീകരിക്കുന്നു, ഏത് ക്ലയന്റ് ഐഡന്റിറ്റികൾക്ക് അനുമതി നൽകുന്നു എന്ന് തീരുമാനിച്ച് രണ്ടും എഴുതുക. എന്തെങ്കിലും ബന്ധിപ്പിക്കുന്നതുവരെ പരീക്ഷണവും പിഴവും വഴി ചെയിനിൽ നിന്ന് സർട്ടിഫിക്കറ്റുകൾ അഴിക്കരുത്.

സർവറിന്റെ സ്വന്തം സ്വകാര്യ കീ ഓരോ ഉപഭോക്താവിനുമുള്ള സംരക്ഷിത ഫയലിലാണ്, കോൺഫിഗറേഷനോടൊപ്പം പകർത്തുന്ന ടെംപ്ലേറ്റ് ഡയറക്ടറിയിലല്ല.

പ്രോസസുകൾ പോലെ തന്നെ നെറ്റ്വർക്കുകളും വേർതിരിക്കുക

രണ്ട് പോർട്ടുകളിലെ രണ്ട് പ്രോസസുകൾ വേർതിരിക്കാത്തിടത്തോളം ഒരു ഹോസ്റ്റും ഒരു റൗട്ടിംഗ് ടേബിളും പങ്കിടുന്നു. ഡിസൈനിൽ വിശ്വസിക്കുന്നതിന് മുൻപ് എന്താണ് കേൾക്കുന്നതെന്ന് ഉറപ്പാക്കുക.

ss -lunp | grep -E '1194|1195'
openssl verify -CAfile customer-a/ca.crt customer-a/client.pem

ലിസണർ പരിശോധന ഏത് പ്രോസസ് ഓരോ പൊതു പോർട്ടും ഉടമസ്ഥതയിലുള്ളതാണെന്ന് കാണിക്കുന്നു, സ്ഥിരീകരണം ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് ഉദ്ദേശിച്ച ആങ്കറിലേക്ക് ചെയിൻ ചെയ്യുന്നുണ്ടോ എന്ന് കാണിക്കുന്നു. ഏത് ഔട്ട്പുട്ടും A യുടെ ക്ലയന്റിന് B യുടെ സബ്നെറ്റ് എത്താൻ കഴിയില്ലെന്ന് തെളിയിക്കുന്നില്ല, അതിനാൽ ഉറവിട, ലക്ഷ്യ നയവും മടങ്ങിവരവ് റൂട്ടുകളും ബോധപൂർവ്വം പങ്കിടുന്ന ഏതെങ്കിലും സേവനവും നിർവചിക്കുക. നെറ്റ്വർക്ക് നെയിംസ്പേസുകളോ കണ്ടെയ്നറുകളോ റൗട്ടിംഗ് സന്ദർഭങ്ങളെ വേർതിരിക്കുകയും ആകസ്മികമായ കലർപ്പ് കുറയ്ക്കുകയും ചെയ്യുന്നു, പക്ഷേ അവ പൂർണ്ണമായ ഒരു ടെനന്റ് അതിർത്തിയല്ല അവയൊഴിച്ചാൽ. ഭീഷണി മാതൃക ആവശ്യപ്പെടുമ്പോൾ കൂടുതൽ ശക്തമായ ഒറ്റപ്പെടുത്തൽ സംവിധാനം തിരഞ്ഞെടുക്കുക.

കൈമാറ്റത്തിന് മുൻപ് റദ്ദാക്കൽ എത്തിക്കുക

റദ്ദാക്കലിന് വിതരണ പാതയില്ലാത്തിടത്തോളം സർട്ടിഫിക്കറ്റ് വിന്യാസം അപൂർണ്ണമാണ്. ഓൺബോർഡിംഗിന്റെ ഭാഗമായി CRL ഇഷ്യൂവറും സാധുതാ വിൻഡോയും പരിശോധിക്കുക.

openssl crl -in customer-a/crl.pem -noout -lastupdate -nextupdate
systemctl status openvpn@customer-a

CRL പരിശോധന ലിസ്റ്റ് എപ്പോൾ പുറപ്പെടുവിച്ചു, എപ്പോൾ കാലഹരണപ്പെടും എന്ന് റിപ്പോർട്ട് ചെയ്യുന്നു, സേവന നില അത് വായിക്കുന്ന ഇൻസ്റ്റൻസ് പ്രവർത്തിക്കുന്നുവെന്ന് ഉറപ്പാക്കുന്നു. പുതിയതായി ഒന്നും റദ്ദാക്കിയില്ലെങ്കിലും ഇഷ്യൂ നയത്തിന്റെ ഷെഡ്യൂൾ അനുസരിച്ച് ലിസ്റ്റ് പുതുക്കുക, കാലഹരണപ്പെട്ട CRL എല്ലാ ക്ലയന്റിനെയും നിരസിച്ചേക്കാം. വായനക്കാർക്ക് ഭാഗിക എഴുത്ത് നേരിടേണ്ടിവരാതിരിക്കാൻ പൂർണ്ണമായ ഫയൽ പ്രസിദ്ധീകരിക്കുക, വിന്യാസത്തിന് മുൻപ് ഒപ്പ് സാധൂകരിക്കുക. ഇഷ്യൂ, എൻഡ്പോയിന്റ് പ്രവർത്തനം, വിരമിക്കൽ എന്നിവയുടെ ഉടമസ്ഥത രേഖപ്പെടുത്തുക, അങ്ങനെ A ഉപഭോക്താവിനെ നിർത്തുന്നത് B യെ ശല്യപ്പെടുത്തില്ല.

തുടർന്ന് സ്വീകാര്യതാ ജോഡി പ്രവർത്തിപ്പിക്കുക: അനുവദിക്കപ്പെട്ട ഒരു ക്ലയന്റ് സ്വന്തം സേവനത്തിലെത്തുന്നു, A യുടെ ക്രെഡൻഷ്യൽ B യുടെ ലിസണർ നിരസിക്കുന്നു. അതാണ് പരിശോധനയായി പ്രകടിപ്പിക്കുന്ന അതിർത്തി.