இயக்க கையேடு: இரு OpenVPN வாடிக்கையாளர்களைத் தனித்தனியாக இணைத்தல்

ஒரே புரவலனில் இரு வாடிக்கையாளர்கள் என்பது மற்றொரு சேவையகத் தொகுதியும் இரண்டாவது துறையும் போலத் தோன்றும். வாடிக்கையாளர் உண்மையில் வைத்திருப்பதை எல்லாம் பட்டியலிட்டதும் இது வேறு திட்டமாகிறது: ஒரு கேட்பவர், ஒரு சுரங்கக் குளம், ஒரு அடையாளம், நம்பிக்கை கோப்புகள், வழிமுறைகள் மற்றும் ரத்து அட்டவணை. இவற்றில் ஒன்றைத் தவிர்த்தால் இரண்டாம் வாடிக்கையாளர் முதல் வாடிக்கையாளரின் ஒரு பகுதியை அமைதியாகப் பெற்றுக்கொள்கிறார். ஒவ்வொரு வாடிக்கையாளருக்கும் ஒரு அட்டையை உருவாக்கி, முதல் வாடிக்கையாளர் இணைவதற்கு முன் அதை நிரப்புங்கள்.

ஒவ்வொரு வாடிக்கையாளருக்கும் முழுமையான வள அட்டையை ஒதுக்குங்கள்

முழு தொகுப்பையும் ஒன்றாக ஒதுக்குங்கள்: பொது துறை, சுரங்க துணை வலையம், உள்ளமைவு பாதை, பதிவு இலக்கு, சேவை நிகழ்வின் பெயர் மற்றும் சாதனம். இவற்றை ஒரு குழுவாகப் பெயரிடுவதே முதல் வாடிக்கையாளரின் குளம் அல்லது இடைமுகத்தை இன்னும் கொண்டிருக்கும் இயங்கும் கோப்பின் பழக்கமான நகலைத் தடுக்கிறது. மதிப்புகள் எடுத்துக்காட்டுகள், ஒதுக்கப்பட்ட துறைகள் அல்ல, எனவே புரவலன் ஏற்கனவே பயன்படுத்துவதைச் சரிபார்க்கவும். தொடங்கும் சேவை முழுமையான வாடிக்கையாளருக்குச் சமம் அல்ல.

அட்டையை உள்ளமைவுக்கு அருகில் வைத்து, மதிப்பு மாறும்போதெல்லாம் புதுப்பிக்கவும். யதார்த்தத்திலிருந்து விலகும் ஆவணம் இல்லாததை விட மோசம்.

நம்பிக்கைப் பொருளை ஒவ்வொரு வாடிக்கையாளருக்குள்ளும் வைத்திருங்கள்

ஒவ்வொரு வாடிக்கையாளருக்கும் தனி வெளியீட்டு அதிகாரம் எல்லையைப் பற்றிச் சிந்திக்க எளிதாக்கி, கையொப்ப விசையை இணையத்திற்கு வெளிப்படும் புரவலனிடமிருந்து விலக்கி வைக்கிறது. பகிரப்பட்ட வேர் கூட வேலை செய்யலாம், ஆனால் பொதுவான நங்கூரம் இரு சேவைகளை ஒரே உறுப்பினர் களமாக மாற்றாது. ஒவ்வொரு கேட்பவர் எந்தச் சங்கிலிகளை ஏற்கிறார், எந்த வாடிக்கையாளர் அடையாளங்களுக்கு அனுமதி அளிக்கிறார் என்பதை முடிவு செய்து இரண்டையும் எழுதுங்கள். ஏதேனும் இணையும் வரை சோதனை-பிழை மூலம் சங்கிலியிலிருந்து சான்றிதழ்களை அகற்ற வேண்டாம்.

சேவையகத்தின் சொந்த தனிப்பட்ட விசை ஒவ்வொரு வாடிக்கையாளருக்கும் பாதுகாக்கப்பட்ட கோப்பில் இருக்க வேண்டும், உள்ளமைவுடன் நகலெடுக்கப்படும் வார்ப்புரு அடைவில் அல்ல.

செயல்முறைகளைப் போலவே வலையங்களையும் பிரிக்கவும்

இரு துறைகளில் இரு செயல்முறைகள் பிரிக்காத வரை இன்னும் ஒரு புரவலனையும் ஒரு வழித்தட அட்டவணையையும் பகிர்ந்துகொள்கின்றன. வடிவமைப்பை நம்புவதற்கு முன் எது கேட்கிறது என்பதை உறுதிசெய்யுங்கள்.

ss -lunp | grep -E '1194|1195'
openssl verify -CAfile customer-a/ca.crt customer-a/client.pem

கேட்பவர் சரிபார்ப்பு எந்தச் செயல்முறை ஒவ்வொரு பொது துறையையும் வைத்திருக்கிறது என்பதைக் காட்டுகிறது, சரிபார்ப்பு வாடிக்கையாளர் சான்றிதழ் நோக்கமிட்ட நங்கூரத்துடன் சங்கிலியாகிறதா என்பதைக் காட்டுகிறது. எந்த வெளியீடும் A வின் வாடிக்கையாளர் B யின் துணை வலையத்தை அடைய முடியாது என்பதை நிரூபிக்காது, எனவே மூல மற்றும் இலக்குக் கொள்கை, திரும்பும் வழித்தடங்கள் மற்றும் வேண்டுமென்றே பகிரப்படும் எந்தச் சேவையையும் வரையறுக்கவும். வலையப் பெயர்வெளிகள் அல்லது கொள்கலன்கள் வழித்தடச் சூழல்களைப் பிரித்து தற்செயலான கலப்பைக் குறைக்கின்றன, ஆனால் அவை முழுமையான குத்தகைதாரர் எல்லை அல்ல தாமாகவே. அச்சுறுத்தல் மாதிரி கோரும்போது வலுவான தனிமைப்படுத்தல் முறையைத் தேர்ந்தெடுக்கவும்.

ஒப்படைப்பதற்கு முன் ரத்தை வழங்குங்கள்

ரத்துக்கு வழங்கல் பாதை இல்லாத வரை சான்றிதழ் வரிசைப்படுத்தல் முழுமையடையாது. இணைப்பின் பகுதியாக CRL இன் வெளியீட்டாளரையும் செல்லுபடி காலத்தையும் சரிபார்க்கவும்.

openssl crl -in customer-a/crl.pem -noout -lastupdate -nextupdate
systemctl status openvpn@customer-a

CRL ஆய்வு பட்டியல் எப்போது வெளியிடப்பட்டது, எப்போது காலாவதியாகும் என்பதைத் தெரிவிக்கிறது, சேவை நிலை அதைப் படிக்கும் நிகழ்வு இயங்குவதை உறுதிசெய்கிறது. புதிதாக எதுவும் ரத்து செய்யப்படாவிட்டாலும் வெளியீட்டுக் கொள்கையின் அட்டவணையின்படி பட்டியலைப் புதுப்பிக்கவும், ஏனெனில் காலாவதியான CRL ஒவ்வொரு வாடிக்கையாளரையும் நிராகரிக்கலாம். வாசகர்கள் பகுதி எழுத்தைச் சந்திக்க விடுவதற்குப் பதிலாக முழுமையான கோப்பை வெளியிடவும், வரிசைப்படுத்தலுக்கு முன் கையொப்பத்தைச் சரிபார்க்கவும். வெளியீடு, முனை இயக்கம் மற்றும் ஓய்வு யாருக்குச் சொந்தம் என்பதைப் பதிவு செய்யவும், அதனால் A வாடிக்கையாளரை நிறுத்துவது B யைத் தொந்தரவு செய்யாது.

பின்னர் ஏற்பு இணையை இயக்கவும்: அனுமதிக்கப்பட்ட வாடிக்கையாளர் தன் சேவையை அடைகிறார், A வின் சான்றுகள் B யின் கேட்பவரால் நிராகரிக்கப்படுகின்றன. அதுவே சோதனையாக வெளிப்படுத்தப்பட்ட எல்லை.