Runbook: samostatné zapojenie dvoch zákazníkov OpenVPN

Dvaja zákazníci na jednom hostiteľovi znejú ako ďalší blok servera a druhý port. Stane sa z toho iný projekt, keď vymenujete všetko, čo zákazník skutočne vlastní: listener, pool tunelov, identitu, súbory dôvery, trasy a plán odvolania. Vynechajte jedno z toho a druhý zákazník ticho zdedí časť prvého. Vytvorte kartu pre každého zákazníka a vyplňte ju skôr, než sa pripojí prvý klient.

Priraďte každému zákazníkovi úplnú kartu zdrojov

Rezervujte celú sadu spolu: verejný port, podsiete tunela, cestu ku konfigurácii, cieľ logov, názov inštancie služby a zariadenie. Pomenovanie ako skupina je to, čo bráni klasickej kópii funkčného súboru, ktorá ešte stále obsahuje pool alebo rozhranie prvého zákazníka. Hodnoty sú príklady, nie rezervované porty, preto skontrolujte, čo hostiteľ už používa. Služba, ktorá sa spustí, nie je to isté ako kompletný zákazník.

Uchovávajte kartu vedľa konfigurácie a aktualizujte ju pri každej zmene hodnoty. Dokumentácia, ktorá sa vzďaľuje realite, je horšia ako žiadna.

Uchovávajte materiál dôvery vnútri každého zákazníka

Samostatná vydávajúca autorita pre každého zákazníka uľahčuje uvažovanie o hranici a drží podpisový kľúč mimo hostiteľa vystaveného internetu. Zdieľaný koreň môže tiež fungovať, ale spoločná kotva nerobí z dvoch služieb jednu doménu členstva. Rozhodnite, ktoré reťazce každý listener prijíma a ktoré identity klientov autorizuje, a oboje zapíšte. Neodstraňujte certifikáty z reťazca metódou pokus-omyl, kým sa niečo nepripojí.

Vlastný súkromný kľúč servera patrí do chráneného súboru pre každého zákazníka, nie do adresára šablón replikovaného spolu s konfiguráciou.

Oddeľte siete rovnako ako procesy

Dva procesy na dvoch portoch stále zdieľajú hostiteľa a smerovaciu tabuľku, ak ich neoddelíte. Potvrďte, čo načúva, predtým než dizajnu uveríte.

ss -lunp | grep -E '1194|1195'
openssl verify -CAfile customer-a/ca.crt customer-a/client.pem

Kontrola listenera ukazuje, ktorý proces vlastní každý verejný port, a overenie ukazuje, či sa klientsky certifikát reťazí k zamýšľanej kotve. Žiadny z výstupov nedokazuje, že klient A nemôže dosiahnuť podsiete B, preto definujte politiku zdroja a cieľa, spätné trasy a každú zámerne zdieľanú službu. Sieťové menné priestory alebo kontajnery oddeľujú kontexty smerovania a znižujú náhodné miešanie, ale nie sú úplnou hranicou nájomcu samy o sebe. Zvoľte silnejší izolačný mechanizmus, keď to vyžaduje model hrozieb.

Doručte odvolanie pred odovzdaním

Nasadenie certifikátu nie je úplné, kým odvolanie nemá cestu doručenia. Skontrolujte vydavateľa CRL a okno platnosti ako súčasť onboardingu.

openssl crl -in customer-a/crl.pem -noout -lastupdate -nextupdate
systemctl status openvpn@customer-a

Kontrola CRL hlási, kedy bol zoznam vydaný a kedy vyprší, a stav služby potvrdzuje, že inštancia, ktorá ho číta, beží. Obnovujte zoznam podľa plánu vydávajúcej politiky, aj keď nebolo nič nové odvolané, pretože expirovaný CRL môže odmietnuť každého klienta. Publikujte úplný súbor namiesto toho, aby čitatelia narazili na čiastočný zápis, a pred nasadením overte podpis. Zaznamenajte, kto vlastní vydávanie, prevádzku koncového bodu a vyradenie, aby vypnutie zákazníka A nenarušilo B.

Potom spustite akceptačnú dvojicu: povolený klient dosiahne svoju službu a poverenie A je odmietnuté listenerom B. To je hranica vyjadrená ako test.