OpenVPN: Melhores métodos para autenticação de vários servidores

Question

Qual é a melhor maneira de vários clientes se autenticarem em vários servidores? Eu estava pensando em um sistema baseado em token quando um token é gerado para cada cliente e um script personalizado é adicionado para verificar isso. Mas isso significa que os usuários são vulneráveis a ataques MITM, pois não estão usando chaves. Mas gerar um cliente para cada servidor, então, ter que redefinir o servidor e os arquivos para EACH SERVER não é aceitável. Também faz revogação muito difícil. Quais são os melhores métodos para autenticar vários usuários em vários servidores?
Talvez eu possa usar a abordagem baseada em token e fazer com que todos os usuários usem o mesmo .crt (ou seja .pem ??), apenas para confirmar a autenticidade do servidor para evitar ataques MITM.

    

Answer 1

Acho que a melhor maneira de fazer isso é gerar certificados (com base na solução PKI). Então você pode ter um certificado de servidor para cada servidor e um certificado de cliente também para cada cliente. O mais fácil nesse caso é usar o formato PKCS12 que incorpora a cadeia completa, com CA, sub-ca e chave privada.

Em seguida, para gerenciar a revogação, você pode usar um respondente do OCSP, que se encarregará de responder à solicitação de status de revogação.

O Easy-RSA pode cuidar dessa simples PKI.