Manwal operattiv: żewġ klijenti OpenVPN introdotti separatament

Żewġ klijenti fuq host wieħed jidhru bħal blokka oħra tas-server u t-tieni port. Isir proġett ieħor hekk kif telenka kollox li klijent fil-fatt jippossjedi: semmiegħ, pool ta’ tunnels, identità, fajls tal-fiduċja, rotot u skeda tar-revoka. Jekk tħalli waħda minnhom barra, it-tieni klijent jiret bil-kwiet biċċa mill-ewwel. Ibni karta għal kull klijent u imliha qabel ma jgħaqqad l-ewwel klijent.

Assenja karta sħiħa tar-riżorsi għal kull klijent

Irriżerva s-sett kollu flimkien: port pubbliku, subnetwork tat-tunnel, passaġġ tal-konfigurazzjoni, destinazzjoni tal-logs, isem l-istanza tas-servizz u l-apparat. L-isem bħala grupp huwa dak li jipprevjeni l-kopja klassika ta’ fajl li jaħdem li għadu fih il-pool jew l-interface tal-ewwel klijent. Il-valuri huma eżempji, mhux ports riżervati, għalhekk iċċekkja x’diġà juża l-host. Servizz li jibda mhuwiex l-istess bħal klijent li huwa komplut.

Żomm il-karta ħdejn il-konfigurazzjoni u aġġornaha kull darba li jinbidel valur. Dokumentazzjoni li titbiegħed mir-realtà hija agħar minn xejn.

Żomm il-materjal tal-fiduċja ġewwa kull klijent

Awtorità tal-ħruġ separata għal kull klijent tagħmel il-konfini faċli biex jiġi raġunat u żżomm iċ-ċavetta tal-firma ’l bogħod mill-host espost għall-internet. Għerq maqsum jista’ jaħdem ukoll, iżda ankra komuni ma tagħmilx żewġ servizzi dominju wieħed tal-membrija. Iddeċiedi liema ktajjen jaccetta kull semmiegħ u liema identitajiet tal-klijent jawtorizza, imbagħad ikteb it-tnejn. Tqaxxarx ċertifikati minn katina b’provi u żbalji sakemm xi ħaġa tgħaqqad.

Iċ-ċavetta privata tas-server innifsu tappartjeni f’fajl protett għal kull klijent, mhux f’direttorju ta’ mudelli li jiġi replikat mal-konfigurazzjoni.

Issepara n-networks kif ukoll il-proċessi

Żewġ proċessi fuq żewġ ports għadhom jaqsmu host u tabella tar-routing sakemm ma tisseparahomx. Ikkonferma x’inhu jisma’ qabel ma tafda d-disinn.

ss -lunp | grep -E '1194|1195'
openssl verify -CAfile customer-a/ca.crt customer-a/client.pem

Il-verifika tas-semmiegħ turi liema proċess jippossjedi kull port pubbliku, u l-verifika turi jekk ċertifikat tal-klijent jingħaqadx mal-ankra maħsuba. L-ebda output ma jipprova li l-klijent ta’ A ma jistax jilħaq is-subnetwork ta’ B, għalhekk iddefinixxi politika tas-sors u d-destinazzjoni, rotot tar-ritorn u kwalunkwe servizz maqsum apposta. L-ispazji tal-ismijiet tan-network jew il-kontenituri jisseparaw il-kuntesti tar-routing u jnaqqsu t-taħlit aċċidentali, iżda huma mhumiex konfini sħiħ tal-kerrej waħedhom. Agħżel mekkaniżmu ta’ iżolament aktar b’saħħtu meta l-mudell tat-theddid jitlob dan.

Wassal ir-revoka qabel il-konsenja

L-iskjerament taċ-ċertifikat mhuwiex komplut sakemm ir-revoka jkollha passaġġ ta’ twassil. Iċċekkja l-emittent u l-perjodu tal-validità tas-CRL bħala parti mill-introduzzjoni.

openssl crl -in customer-a/crl.pem -noout -lastupdate -nextupdate
systemctl status openvpn@customer-a

L-ispezzjoni tas-CRL tirrapporta meta nħarġet il-lista u meta tiskadi, u l-istat tas-servizz jikkonferma li l-istanza li qed taqraha qed taħdem. Aġġorna l-lista skont l-iskeda tal-politika tal-ħruġ anki meta xejn ġdid ma ġie revokat, għax CRL skaduta tista’ tirrifjuta kull klijent. Ippubblika fajl komplet minflok ma tħalli lill-qarrejja jiltaqgħu ma’ kitba parzjali, u ivvalida l-firma qabel l-iskjerament. Irreġistra min jippossjedi l-ħruġ, it-tħaddim tal-punt tat-tmiem u l-irtirar, sabiex it-tifi tal-klijent A ma jfixkilx lil B.

Imbagħad ħaddem il-par tal-aċċettazzjoni: klijent permess jilħaq is-servizz tiegħu stess, u kredenzjali ta’ A tiġi rrifjutata mis-semmiegħ ta’ B. Dak huwa l-konfini espress bħala test.