Atribui clientes usando o mesmo certificado na mesma sub-rede

Question

Gostaria de atribuir condicionalmente aos clientes uma sub-rede com base no certificado que eles estão usando. Cada usuário recebe seu próprio certificado e chave, mas o usará em todos os seus dispositivos.

O resultado final desejado é que todos os dispositivos que um usuário específico conecta ao servidor poderão se comunicar uns com os outros pela VPN, mas não poderão se comunicar com os dispositivos de outros usuários.

Depois de muita pesquisa no Google, não consegui encontrar uma maneira de configurar o OpenVPN para permitir isso. Ainda estou planejando a configuração do servidor, por isso, se isso for mais fácil com software alternativo, estou aberto a sugestões. Muito obrigado.

    

Answer 1

Uma instância específica do OpenVPN é executada com um único arquivo de configuração, que por sua vez só pode operar uma única interface de rede TUN / TAP. Pedir ao OpenVPN para operar duas interfaces simplesmente não é possível.

No entanto, não há nada que o impeça de criar duas instâncias OpenVPN, cada uma com sua própria interface, ouvindo em portas diferentes (o número 1194 não é um padrão formal, qualquer número de porta serve). Você pode:

• só permite que certificados emitidos por uma determinada autoridade de certificação se conectem a cada instância, se você tiver ou puder usar / configurar mais de uma autoridade de certificação
• configure cada instância com arquivos TLS-Auth separados e compartilhe-os com os respectivos clientes, para que apenas aqueles com o arquivo correto possam se conectar à sua própria instância
• use a funcionalidade TLS-Verify para testar os certificados, talvez em relação a uma lista de certificados pré-aprovados para cada instância do OpenVPN ou correspondendo a um departamento no Nome Distinto do certificado.

Para uma boa segurança, uma mistura dos itens acima seria ainda melhor.