Sida loo burtiyo aaladda VPN ee lumay: fure, shahaado ama akoon

Laptop-kaaga waa lumay, VPN-na weli waxay ku taxdaa macmiil ahaan. Su'aasha degdegga ah ma aha sida loo tirtiro profile-ka mashiin aanad haysan, laakiin waa aqoonsiga kee uu serverku weli aqbalo. WireGuard waxay hubisaa fure dadweyne, qaabeynta OpenVPN ku salaysan PKI waxay hubisaa shahaado macmiil, VPN-na leh SSO waxay hubisaa akoon iyo token fadhigiisa. Saddexdaas waxaa lagu birti gudaha meelo kala duwan iyo xawaare kala duwan, oo mid hagaajin adigoo dayacaya kuwa kale waa sida aaladda lumay ay u sii xirnaato.

Saddex aqoonsi iyo waxa mid kastaa maamulo

Hab kastaa wuxuu ka jawaabaa su'aal kale. Fure deris wuxuu ka jawaabaa haddii tani tahay mashiinka aad diiwaangelisay. Shahaado waxay ka jawaabtaa haddii CA-gaagu saxeexay oo aan la birtin. Akoon wuxuu ka jawaabaa haddii qofkani aqoonsigiisa caddeeyay waqti dhow oo ku filan. Baahin laba ka mid ah is dulsaarta, tusaale ahaan shahaado iyo gelitaan hagaha, waxay albaabka xirtaa kaliya marka lakab kasta oo aaladda wax siiyay lagu yidhi jooji aqbalidda.

Dabinka waxqabadku waa in mashiinka maqan uu hayo qaybta gaarka ah ee aqoonsi kasta, sidaas darteed wax kasta oo aad gudaha ka qabato ma gaaro serverka.

WireGuard: ka saar deriska, maxaa yeelay liis birti ma jiro

WireGuard ma hayo liis mamnuuc. Interface-ku wuxuu aqbalaa si sax ah furayaasha dadweynaha ee loo habeeyay derisyo, sidaas darteed birtintu waa tirtirid: socodsii wg set wg0 peer <public-key> remove, qaabka lagu diiwaangeliyay wg(8), ka dibna tirtir block [Peer] ee u dhigma wg0.conf. Samee labadaba. Ka-saarid kaliya wakhtiga socodka waxay sii jirtaa ilaa dib-u-degid ama dib-u-rastin qaabeynta xigta, markaas faylku furayaasha dib u dhigo.

Fadhiyada jira uma baahna timer si ay u dhintaan. Ka-saarista deriska waxay tuurtaa gacan-saaristiisa iyo maaddada furaha, sidaas darteed taraafikadu wuu istaagaa isla markii lammaane fure ansax ah dib loo baahdo. Hubi wg show wg0 latest-handshakes serverka: gelinta furaha lumay waa inuu libdho oo uu libdho, halka derisyada kale ay sii wadaan soo sheegidda waqtiyada dhow.

Digniin kaliya ayaa ka muhiimsan sida ay u muuqato. Haddii aaladda lumay ay fure la wadaagtay aaladaha kale sababtoo ah qof ayaa koobiyeeyay hal fayl qaabeyn, ka-saarista furahaas waxay goynaysaa dhammaantood; weli waa tallaabada saxda ah, ka dibna waxaad u soo saartaa furayaal aalad kasta si gaar ah halkii aad dib u soo celin lahayd midka la wadaago.

Shahaadooyin: CRL waxaa la tiriyaa kaliya haddii daemon-ku akhriyo

Gelitaanka ku salaysan shahaadooyin wuxuu ku darayaa tallaabo ay dadku seegaan. easyrsa revoke laptop-01 wuxuu ku calaamadeeyaa shahaadda mid la birti gudaha keydka CA, laakiin VPN wax kama bartaa keydkaas. Ka dib waxaad socodsii easyrsa gen-crl si aad u qorto crl.pem, ku koobiyeeyaa waddada lagu sheegay ikhtiyaarka crl-verify ee serverka, oo aad xaqiijiso in daemon-ka socda uu isticmaalayo faylka cusub. Birtin iyada oo aan dib loo soo saarin oo aan la qaybin CRL waa wax aan faa'iido lahayn.

Waqtigu waa qaybta labaad. CRL waxaa la tashadaa marka macmiil ku xirmo ama dib uga wada-hadlo, sidaas darteed tunnel la dhisay wuxuu sii gudbin karaa ilaa markaas. Haddii aaladda si degdeg ah loo gooyo, fadhigaas si cad u dhammee iyada oo loo marayo interface maamulka OpenVPN halkii aad ka sugayso gacan-saarista xigta. Dib-u-rastinta ama dib-u-bilaabidda adeegga, iyadoo ku xidhan sida baahintu u rartay CRL, waa qayb ka mid ah isbeddelka mana aha wax dheeraad ah oo ikhtiyaari ah.

Xaqiijintu waxay mudan tahay in laga sameeyo mashiin kale: soo bandhig shahaadda la birti oo filo guuldarada gacan-saarista, sida caadiga ah VERIFY ERROR: depth=0, error=certificate revoked. Haddii xidhiidhku weli guulaysto, macmiilku wuxuu akhrinayaa CRL ka duwan midka aad cusboonaysiisay.

Akoonno iyo fadhiyo: joojintu la mid maaha cayrinta

Gelitaanka hagaha ama SSO waxaa la hubiyaa waqtiga aqoonsiga. Joojinta akoonku waxay xannibtaa gelitaanka xiga, laakiin token-ka cusboonaysiinta iyo tunnel-ka la dhisay waxay sii shaqayn karaan ilaa ay dhacaan. Birti fadhiyada iyo token-yada isticmaalahaas, ama kordhi nooca fadhiga haddii bixiyaha aqoonsigu taageero. Sidoo kale ka saar aaladda lumay diiwaangelinta MFA, maxaa yeelay xaqiijiyaha la diiwaangeliyay laftiisu waa dariiqa gelitaan.

VPN-yada ku salaysan RADIUS waxay diri karaan fariin goyn ama isbeddel ogolaansho si ay u ridaan fadhi firfircoon, laakiin ma aha server kasta oo gelitaanka shabakadu inuu ixtiraamo taas. Marka shaki jiro, dhammee fadhiga isticmaalaha dhinaca serverka oo xaqiiji diiwaannada in fadhigii hore xirmay.

Nidaamka ficillada saacadda xigta

Ka bilow liiska alaabta, ma aha macmiilka: tax aqoonsi kasta oo ku xidhan aaladda, ha ahaado fure deris, lambar taxane shahaado ama akoon. Birti nidaam kasta oo soo saara sida ay xidhiidhka u dhismaan, taas oo ah akoonka marka hore, ka dib shahaadda, ka dib deriska. Ka dib ku caddee diidmada mashiin aad maamusho.

Laba tallaabo oo daba jooga ayaa sahlan in la illoobo. Marka hore, beddel wax kasta oo kale oo aaladdu haysatay, gaar ahaan furayaasha SSH, aqoonsiga console-ka daruuraha iyo fure WireGuard horay loo wadaagay. Marka labaad, hubi in maamulka qaabeynta, sawirrada ama sawirrada dahabka ahi aanay dib u soo celin karin macmiilka la saaray marka dib loo dhiso xigta.

Xalka waara waa hal aqoonsi aalad kasta. Marka laptop kastaa qaato furahiisa deris ama shahaadiisa, lumintu waxay ku kacdaa hal amarka birtin iyo hal dib-u-soo-saaris halkii dib loo dhisi lahaa dhammaan kooxda.