Buku panduan: Mendaftarkan Dua Pelanggan OpenVPN Secara Berasingan

Dua pelanggan pada satu hos kedengaran seperti satu lagi blok pelayan dan port kedua. Ia menjadi projek lain apabila anda menyenaraikan semua yang sebenarnya dimiliki pelanggan: pendengar, kolam terowong, identiti, fail kepercayaan, laluan dan jadual pembatalan. Terlepas satu daripadanya dan pelanggan kedua secara senyap mewarisi sebahagian daripada yang pertama. Bina kad bagi setiap pelanggan dan isikannya sebelum klien pertama menyambung.

Berikan kad sumber yang lengkap bagi setiap pelanggan

Tempah seluruh set bersama-sama: port awam, subnet terowong, laluan konfigurasi, destinasi log, nama contoh perkhidmatan dan peranti. Menamakan mereka sebagai kumpulan itulah yang menghalang salinan klasik fail yang berfungsi tetapi masih mengandungi kolam atau antara muka pelanggan pertama. Nilai adalah contoh, bukan port yang ditempah, jadi semak apa yang hos sudah gunakan. Perkhidmatan yang bermula bukanlah sama dengan pelanggan yang lengkap.

Simpan kad di sebelah konfigurasi dan kemas kininya setiap kali nilai berubah. Dokumentasi yang menjauhi realiti lebih buruk daripada tiada.

Simpan bahan kepercayaan di dalam setiap pelanggan

Pihak berkuasa pengeluar yang berasingan bagi setiap pelanggan menjadikan sempadan mudah difikirkan dan menjauhkan kunci tandatangan daripada hos yang menghadap internet. Akar yang dikongsi juga boleh berfungsi, tetapi sauh bersama tidak menjadikan dua perkhidmatan sebagai satu domain keahlian. Tentukan rantai mana yang diterima oleh setiap pendengar dan identiti klien mana yang dibenarkannya, kemudian tulis kedua-duanya. Jangan tanggalkan sijil daripada rantai secara cuba-cuba sehingga sesuatu bersambung.

Kunci peribadi pelayan itu sendiri terletak dalam fail terlindung bagi setiap pelanggan, bukan dalam direktori templat yang direplikasi bersama konfigurasi.

Pisahkan rangkaian serta proses

Dua proses pada dua port masih berkongsi hos dan jadual penghalaan kecuali anda memisahkannya. Sahkan apa yang mendengar sebelum mempercayai reka bentuk.

ss -lunp | grep -E '1194|1195'
openssl verify -CAfile customer-a/ca.crt customer-a/client.pem

Semakan pendengar menunjukkan proses mana yang memiliki setiap port awam, dan pengesahan menunjukkan sama ada sijil klien berantai ke sauh yang dimaksudkan. Tiada keluaran membuktikan bahawa klien A tidak boleh mencapai subnet B, jadi tentukan dasar sumber dan destinasi, laluan balik dan sebarang perkhidmatan yang sengaja dikongsi. Ruang nama rangkaian atau kontena memisahkan konteks penghalaan dan mengurangkan percampuran tidak sengaja, tetapi ia bukan sempadan penyewa yang lengkap dengan sendirinya. Pilih mekanisme pengasingan yang lebih kuat apabila model ancaman memerlukannya.

Hantar pembatalan sebelum penyerahan

Penggunaan sijil belum lengkap sehingga pembatalan mempunyai laluan penghantaran. Semak pengeluar dan tetingkap kesahihan CRL sebagai sebahagian daripada pendaftaran.

openssl crl -in customer-a/crl.pem -noout -lastupdate -nextupdate
systemctl status openvpn@customer-a

Pemeriksaan CRL melaporkan bila senarai dikeluarkan dan bila ia luput, dan status perkhidmatan mengesahkan bahawa contoh yang membacanya sedang berjalan. Segarkan senarai mengikut jadual dasar pengeluaran walaupun tiada yang baru dibatalkan, kerana CRL yang luput boleh menolak setiap klien. Terbitkan fail lengkap daripada membiarkan pembaca menemui penulisan separa, dan sahkan tandatangan sebelum penggunaan. Catat siapa yang memiliki pengeluaran, operasi titik akhir dan persaraan, supaya mematikan pelanggan A tidak mengganggu B.

Kemudian jalankan pasangan penerimaan: klien yang dibenarkan mencapai perkhidmatannya sendiri, dan kelayakan A ditolak oleh pendengar B. Itulah sempadan yang dinyatakan sebagai ujian.