د چلولو لارښود: دوه OpenVPN پېرودونکي په جلا توګه شاملول

پر یو کوربه دوه پېرودونکي د یو بل سرور بلاک او دویم پورټ په څېر ښکاري۔ خو کله چې هغه هر څه ولیکئ چې پېرودونکی واقعاً یې لري، دا بېله پروژه کېږي: اورېدونکی، د تونل زیرمه، هویت، د باور فایلونه، لارې او د لغوه کولو مهال ویش۔ له دغو یو هم پرېښود، نو دویم پېرودونکی په خاموشۍ سره د لومړي یوه برخه په میراث اخلي۔ د هر پېرودونکي لپاره یوه کارت جوړه کړئ او د لومړي کليانټ له نښلېدو دمخه یې ډکه کړئ۔

هر پېرودونکي ته بشپړ د سرچینو کارت ورکړئ

ټول مجموعه یو ځای خوندي کړئ: عامه پورټ، د تونل فرعي شبکه، د ترتیب لار، د ثبت مقصد، د خدمت نمونې نوم او وسیله۔ دوی د یوې ډلې په توګه نومول هغه څه دي چې د کار کوونکي فایل کلاسیکه کاپي چې لا هم د لومړي پېرودونکي زیرمه یا انټرفېس لري، مخه نیسي۔ ارزښتونه بېلګې دي، نه خوندي شوي پورټونه، نو وګورئ کوربه لا څه کاروي۔ پیل شوی خدمت د بشپړ پېرودونکي سره یو څه نه دي۔

کارت د ترتیب ترڅنګ وساتئ او هر ځل چې ارزښت بدلېږي تازه یې کړئ۔ هغه اسناد چې له واقعیت څخه لرې کېږي له نشتوالي څخه بدتر دي۔

د باور توکي د هر پېرودونکي دننه وساتئ

د هر پېرودونکي لپاره جلا صادرونکې اداره پوله د فکر کولو لپاره اسانه کوي او د لاسلیک کیلي له انټرنېټ ته پرانیستې کوربه لرې ساتي۔ ګډه ریښه هم کولی شي کار وکړي، خو ګډ لنګر دوه خدمتونه یوه غړیتوب ډومېن نه جوړوي۔ پرېکړه وکړئ چې هر اورېدونکی کوم زنځیرونه مني او کوم کليانټ هویتونه اجازه ورکوي، بیا دواړه ولیکئ۔ تر هغه چې یو څه ونښلي، د ازموینې او تېروتنې له لارې له زنځیر څخه سندونه مه لرې کوئ۔

د سرور خپله خصوصي کیلي د هر پېرودونکي لپاره په خوندي فایل کې ده، نه په کېلګه لارښود کې چې له ترتیب سره کاپي کېږي۔

شبکې هم لکه پروسې جلا کړئ

دوه پورټونه دوه پروسې لا هم یو کوربه او یو د لارښوونې جدول شریکوي پرته له دې چې جلا یې کړئ۔ له ډیزاین سره د باور کولو دمخه تصدیق کړئ څه اورېدل کېږي۔

ss -lunp | grep -E '1194|1195'
openssl verify -CAfile customer-a/ca.crt customer-a/client.pem

د اورېدونکي ازموینه ښیي چې کومه پروسه هر عامه پورټ لري، او تصدیق ښیي چې د کليانټ سند د هدف لنګر سره زنځیر کېږي که نه۔ هېڅ پایله نه ثابتوي چې د A کليانټ نشي کولی د B فرعي شبکې ته ورسیږي، نو د سرچینې او مقصد پالیسي، د بېرته راستنېدو لارې او هر هغه خدمت چې په قصد ګډ شوی، تعریف کړئ۔ د شبکې نوم ځایونه یا کنټینرونه د لارښوونې شرایط جلا کوي او ناڅاپي ګډېدل کموي، خو هغوی بشپړه د کرایه دار پوله نه ده په خپله۔ کله چې د ګواښ ماډل غوښتنه وکړي، پیاوړی جلا کولو میکانیزم غوره کړئ۔

لغوه کول د سپارلو دمخه ورسوئ

د لغوه کولو د رسولو لار نه وي، تر هغه د سند ځای پرځای کول نیمګړي دي۔ د شاملولو برخې په توګه د CRL صادرونکی او د اعتبار موده وګورئ۔

openssl crl -in customer-a/crl.pem -noout -lastupdate -nextupdate
systemctl status openvpn@customer-a

د CRL کتنه راپور ورکوي چې لیست کله صادر شو او کله پای ته رسېږي، او د خدمت حالت تصدیق کوي چې هغه نمونه چې دا لولي روانه ده۔ حتی کله چې نوی څه لغوه نه شو، لیست د صادرولو پالیسي مهال ویش له مخې تازه کړئ، ځکه چې پای ته رسېدلی CRL کولی شي هر کليانټ رد کړي۔ د دې پرځای چې لوستونکي نیمګړي لیکنې سره مخ شي، بشپړ فایل خپور کړئ، او د ځای پرځای کولو دمخه لاسلیک تصدیق کړئ۔ ولیکئ چې د صادرولو، د پای ټکي چلولو او تقاعد څښتن څوک دی، تر څو د A پېرودونکي بندول B ته زیان ونه رسوي۔

بیا د مننې جوړه چل کړئ: اجازه لرونکی کليانټ خپل خدمت ته رسېږي، او د A اعتبار د B اورېدونکي لخوا رد کېږي۔ دا هغه پوله ده چې د ازموینې په توګه بیان شوې۔