Mwongozo: Kuunganisha Wateja Wawili wa OpenVPN kwa Mballi

Wateja wawili kwenye mwenyeji mmoja wanasikika kama kizuizi kingine cha seva na bandari ya pili. Inakuwa mradi mwingine mara tu unapoorodhesha kila kitu ambacho mteja anamiliki kwa kweli: msikilizaji, dimbwi la vichuguu, utambulisho, faili za uaminifu, njia na ratiba ya kufuta. Ukiruka kimoja wapo, mteja wa pili hurithi kimya kipande cha wa kwanza. Tengeneza kadi kwa kila mteja na uijaze kabla mteja wa kwanza kuunganishwa.

Toa kadi kamili ya rasilimali kwa kila mteja

Hifadhi seti nzima pamoja: bandari ya umma, subneti ya vichuguu, njia ya usanidi, mahali pa kumbukumbu, jina la mfano wa huduma na kifaa. Kuwataja kama kikundi ndiko kunakozuia nakala ya kawaida ya faili inayofanya kazi ambayo bado ina dimbwi au kiolesura cha mteja wa kwanza. Thamani ni mifano, si bandari zilizohifadhiwa, kwa hiyo angalia mwenyeji anachotumia tayari. Huduma inayoanza si sawa na mteja aliyekamilika.

Weka kadi kando ya usanidi na uisasishe kila thamani inapobadilika. Nyaraka zinazoachana na ukweli ni mbaya kuliko kutokuwapo.

Weka nyenzo za uaminifu ndani ya kila mteja

Mamlaka tofauti ya kutoa kwa kila mteja hufanya mpaka kuwa rahisi kufikiri na huweka ufunguo wa kutia sahihi mbali na mwenyeji unaoelekea mtandao. Mizizi ya pamoja inaweza pia kufanya kazi, lakini nanga ya pamoja haifanyi huduma mbili kuwa kikoa kimoja cha uanachama. Amua ni minyororo ipi kila msikilizaji anakubali na ni vitambulisho vipi vya mteja anavyoidhinisha, kisha andika vyote viwili. Usiondoe vyeti kwenye mnyororo kwa kujaribu na kukosea hadi kitu kiunganishwe.

Ufunguo wa faragha wa seva yenyewe unamilikiwa na faili iliyolindwa kwa kila mteja, si saraka ya violezo inayonakiliwa pamoja na usanidi.

Tenganisha mitandao pamoja na michakato

Michakato miwili kwenye bandari mbili bado inashiriki mwenyeji na jedwali la uelekezaji isipokuwa ukitenganishe. Thibitisha kinachosikiliza kabla ya kuamini muundo.

ss -lunp | grep -E '1194|1195'
openssl verify -CAfile customer-a/ca.crt customer-a/client.pem

Ukaguzi wa msikilizaji unaonyesha mchakato gani unamiliki kila bandari ya umma, na uthibitishaji unaonyesha kama cheti cha mteja kinaunganishwa na nanga iliyokusudiwa. Hakuna matokeo yanayothibitisha kwamba mteja wa A hawezi kufikia subneti ya B, kwa hiyo fafanua sera ya chanzo na lengo, njia za kurudi na huduma yoyote inayoshirikiwa kwa makusudi. Nafasi za majina za mtandao au kontena hutenganisha miktadha ya uelekezaji na kupunguza mchanganyiko wa bahati mbaya, lakini ni si mpaka kamili wa mpangaji peke yao. Chagua utaratibu imara zaidi wa kutenganisha wakati mfano wa tishio unahitaji.

Wasilisha ufutaji kabla ya makabidhiano

Uwekaji wa cheti haukamiliki hadi ufutaji uwe na njia ya uwasilishaji. Angalia mtoaji na dirisha la uhalali la CRL kama sehemu ya uingizaji.

openssl crl -in customer-a/crl.pem -noout -lastupdate -nextupdate
systemctl status openvpn@customer-a

Ukaguzi wa CRL unaripoti lini orodha ilitolewa na lini inaisha, na hali ya huduma inathibitisha kwamba mfano unaoisoma unaendelea. Sasisha orodha kwa ratiba ya sera ya utoaji hata wakati hakuna kipya kilichofutwa, kwa sababu CRL iliyoisha inaweza kukataa kila mteja. Chapisha faili kamili badala ya kuwaacha wasomaji wakabiliane na maandishi ya sehemu, na thibitisha sahihi kabla ya uwekaji. Rekodi nani anamiliki utoaji, uendeshaji wa nukta ya mwisho na kustaafu, ili kuzima mteja A kusisumbue B.

Kisha endesha jozi ya kukubali: mteja aliyeruhusiwa anafikia huduma yake mwenyewe, na kitambulisho cha A kinakataliwa na msikilizaji wa B. Huo ni mpaka ulioelezwa kama jaribio.