ఆపరేషన్ గైడ్: రెండు OpenVPN వినియోగదారులను విడివిడిగా ఆన్బోర్డ్ చేయడం

ఒకే హోస్ట్పై ఇద్దరు వినియోగదారులు మరో సర్వర్ బ్లాక్ మరియు రెండవ పోర్ట్ లాగా అనిపిస్తారు. వినియోగదారు నిజంగా కలిగి ఉన్న ప్రతిదాన్ని జాబితా చేసిన వెంటనే ఇది వేరే ప్రాజెక్ట్ అవుతుంది: శ్రోత, తున్నెల్ పూల్, గుర్తింపు, విశ్వాస ఫైళ్లు, మార్గాలు మరియు రద్దు షెడ్యూల్. వాటిలో ఒకటి దాటవేస్తే రెండవ వినియోగదారు మొదటి వారి ఒక భాగాన్ని నిశ్శబ్దంగా వారసత్వంగా పొందుతారు. ప్రతి వినియోగదారు కోసం కార్డ్ సృష్టించి, మొదటి క్లయింట్ కనెక్ట్ అయ్యే ముందు దాన్ని నింపండి.

ప్రతి వినియోగదారుకు పూర్తి వనరుల కార్డును కేటాయించండి

మొత్తం సెట్ను కలిసి రిజర్వ్ చేయండి: పబ్లిక్ పోర్ట్, తున్నెల్ సబ్నెట్, కాన్ఫిగరేషన్ మార్గం, లాగ్ గమ్యం, సేవా ఇన్స్టాన్స్ పేరు మరియు పరికరం. వాటిని సమూహంగా పేరు పెట్టడమే మొదటి వినియోగదారు పూల్ లేదా ఇంటర్ఫేస్ను ఇంకా కలిగి ఉన్న పని చేసే ఫైల్ యొక్క సాధారణ కాపీని నిరోధిస్తుంది. విలువలు ఉదాహరణలు, రిజర్వ్ చేసిన పోర్టులు కావు, కాబట్టి హోస్ట్ ఇప్పటికే ఏమి ఉపయోగిస్తుందో తనిఖీ చేయండి. ప్రారంభమయ్యే సేవ పూర్తి వినియోగదారుతో సమానం కాదు.

కార్డును కాన్ఫిగరేషన్ పక్కన ఉంచి, విలువ మారిన ప్రతిసారీ నవీకరించండి. వాస్తవికతకు దూరమయ్యే డాక్యుమెంటేషన్ లేకపోవడం కంటే చెడ్డది.

విశ్వాస సామగ్రిని ప్రతి వినియోగదారు లోపల ఉంచండి

ప్రతి వినియోగదారుకు వేర్వేరు జారీ అధికారం సరిహద్దు గురించి ఆలోచించడం సులభం చేస్తుంది మరియు సంతకం కీని ఇంటర్నెట్కు బహిర్గతమైన హోస్ట్ నుండి దూరంగా ఉంచుతుంది. భాగస్వామ్య మూలం కూడా పని చేయగలదు, కానీ సాధారణ యాంకర్ రెండు సేవలను ఒకే సభ్యత్వ డొమైన్గా మార్చదు. ప్రతి శ్రోత ఏ గొలుసులను అంగీకరిస్తుంది మరియు ఏ క్లయింట్ గుర్తింపులను అధికారం ఇస్తుంది నిర్ణయించి, రెండింటినీ రాయండి. ఏదో కనెక్ట్ అయ్యే వరకు ప్రయోగం మరియు పొరపాటు ద్వారా గొలుసు నుండి ధృవపత్రాలను తీసివేయవద్దు.

సర్వర్ స్వంత ప్రైవేట్ కీ ప్రతి వినియోగదారుకు రక్షిత ఫైల్లో ఉండాలి, కాన్ఫిగరేషన్తో కాపీ అయ్యే టెంప్లేట్ డైరెక్టరీలో కాదు.

ప్రక్రియల మాదిరిగానే నెట్వర్క్లను కూడా వేరు చేయండి

రెండు పోర్టులపై రెండు ప్రక్రియలు వేరు చేయకపోతే ఇంకా ఒకే హోస్ట్ మరియు ఒకే రూటింగ్ పట్టికను పంచుకుంటాయి. డిజైన్ను నమ్మే ముందు ఏది వింటోందో నిర్ధారించండి.

ss -lunp | grep -E '1194|1195'
openssl verify -CAfile customer-a/ca.crt customer-a/client.pem

శ్రోత తనిఖీ ఏ ప్రక్రియ ప్రతి పబ్లిక్ పోర్టును కలిగి ఉందో చూపిస్తుంది, ధృవీకరణ క్లయింట్ ధృవపత్రం ఉద్దేశించిన యాంకర్కు గొలుసుగా మారుతుందో లేదో చూపిస్తుంది. ఏ అవుట్పుట్ కూడా A క్లయింట్ B సబ్నెట్ను చేరుకోలేదని నిరూపించదు, కాబట్టి మూలం మరియు గమ్యం విధానం, తిరిగి వచ్చే మార్గాలు మరియు ఉద్దేశపూర్వకంగా పంచుకున్న ఏ సేవనైనా నిర్వచించండి. నెట్వర్క్ పేరు స్థలాలు లేదా కంటైనర్లు రూటింగ్ సందర్భాలను వేరు చేసి ఆకస్మిక కలయికను తగ్గిస్తాయి, కానీ అవి పూర్తి అద్దెదారు సరిహద్దు కాదు తామే. ముప్పు నమూనా కోరినప్పుడు బలమైన వేరుచేయు యంత్రాంగాన్ని ఎంచుకోండి.

అప్పగింతకు ముందు రద్దును అందించండి

రద్దుకు పంపిణీ మార్గం లేనంత వరకు ధృవపత్ర అమరిక పూర్తి కాదు. ఆన్బోర్డింగ్లో భాగంగా CRL జారీదారు మరియు చెల్లుబాటు విండోను తనిఖీ చేయండి.

openssl crl -in customer-a/crl.pem -noout -lastupdate -nextupdate
systemctl status openvpn@customer-a

CRL తనిఖీ జాబితా ఎప్పుడు జారీ అయింది మరియు ఎప్పుడు ముగుస్తుంది నివేదిస్తుంది, సేవ స్థితి దాన్ని చదివే ఇన్స్టాన్స్ నడుస్తోందని నిర్ధారిస్తుంది. కొత్తగా ఏదీ రద్దు కాకపోయినా జారీ విధాన షెడ్యూల్ ప్రకారం జాబితాను రిఫ్రెష్ చేయండి, ఎందుకంటే గడువు ముగిసిన CRL ప్రతి క్లయింట్ను తిరస్కరించవచ్చు. పాఠకులు పాక్షిక రచనను ఎదుర్కోకుండా పూర్తి ఫైల్ను ప్రచురించండి, మరియు అమరికకు ముందు సంతకాన్ని ధృవీకరించండి. జారీ, ముగింపు బిందువు నిర్వహణ మరియు విరమణ యాజమాన్యాన్ని నమోదు చేయండి, తద్వారా A వినియోగదారును ఆపివేయడం B కు ఇబ్బంది కలిగించదు.

తర్వాత ఆమోద జంటను నడపండి: అనుమతించిన క్లయింట్ తన సేవను చేరుకుంటుంది, మరియు A యొక్క ఆధారాలు B శ్రోత ద్వారా తిరస్కరించబడతాయి. అదే పరీక్షగా వ్యక్తీకరించిన సరిహద్దు.