банк или пентагон? :)

ДЦ

а PKI для openvpn поднимал кто?

я. Чего там поднимать-то?

нет, етокены.

Дизлайк

я. Чего там поднимать-то?

ну, есть разные решения

Дизлайк

лучшее из худших для линуха, к сожалению. Сам их терпеть ненавижу.

типа лемура вон

Бери наши

не наши, а ваши :)

В линухе у нас все мега-ок

я из Украины

Политически сложно?

я из Украины

тогда попадалово. Трудно ввезти будет. ФСБ на такие темы оч возбуждается

а PKI для openvpn поднимал кто?

чем pki для openvpn будет отличаться от PKI просто :)

Так то продать можно

а почему за етокены дислайк?

работают и работают

чем pki для openvpn будет отличаться от PKI просто :)

ну в теории нужно соответствующий экстеншн указать

Потому что я делаю рутокены :)

чем pki для openvpn будет отличаться от PKI просто :)

ну вообще строго говоря мало чем

на практикае он там и так есть, так что можно по этому поводу можно сильно не переживать

Потому что я делаю рутокены :)

а, понятно :)

ну в общем pkcs11 это мегавещь, удобно и секюрно ппц.

особенно круто заходят с ipsec впн-ом

Угу

У нас есть интересная штука

Рутокен впн

Погуглите

в винде так вообще: далее-далее-введите адрес сервера-далее-далее. запускаешь впн, просит пароль от токена, влетел.

но правильные посоны используют pkcs11 для авторизации. с хардварными смарткартами-токенами

Я бы сделал, но мой кейс не такой параноидальный) И хардверных токенов под рукой нет.

Малинка с преднастроенным впн и кучкой токенов

и всё проприетарное, ага? )

Все настраивается в 10 кликов

и всё проприетарное, ага? )

Опенвпн там

гы

ну круто )

Проприетарное там только немножко интерфейса

А так убунта

Короч по теме вопроса

Делаешь на серваке самоподписанный сертификат и бережёшь его

Это коневой теперь

Корневой

На корневом выписываешь пачку юзерских

Раздаешь им ключики и сертификаты

серверу выдаёшь подписанный сертификат с capability сервера.

Юзеры их кладут на свои тачки и все заводится

ЦА по-хорошему на отдельном сервере? И выдать один сертификат серверу, другие клиентам?

серверу выдаёшь подписанный сертификат с capability сервера.

Capability сервер это что?

ЦА по-хорошему на отдельном сервере? И выдать один сертификат серверу, другие клиентам?

По хорошему вообще внешний :)

Можно прикупить сертификаты с доверием

ну, сертификаты имеют поля "разрешения", грубо говоря. СА говорит что этому сертификату можно держать сервер, устанавливать ipsec соединение и т.п.

Вот для того чтобы опенвпн клиент согласился подключаться к серверу, у него должен быть capability сервер. Это насколько я помню, при подписи сертификата указывается

По хорошему вообще внешний :)

Но обычно это дорого, так что подойдёт самоподписанный

Вот для того чтобы опенвпн клиент согласился подключаться к серверу, у него должен быть capability сервер. Это насколько я помню, при подписи сертификата указывается

Верно, это все в опциях OpenSSL есть

В интернетах все написано

ЦА по-хорошему на отдельном сервере? И выдать один сертификат серверу, другие клиентам?

Ключ корневого сертификата нужно держать в безопасности

Как вариант, можно держать на флешке с пин-кодом виртуалку с СА. Самое бюджетное. Но таких флешек должно быть 2 :)

По хорошему вообще внешний :)

Зелёный CA и физический сервер = $$$. Поэтому как-нибудь без этого :)

Как вариант, можно держать на флешке с пин-кодом виртуалку с СА. Самое бюджетное. Но таких флешек должно быть 2 :)

Флешки закончились :( Ладно, придумаю что-нибудь секьюрное. Спасибо.

самое главное - чтобы эта виртуалка не выходила в инет. вообще

Зелёный CA и физический сервер = $$$. Поэтому как-нибудь без этого :)

Это норм

ключ CA нужно беречь как яйца

Как вариант, можно держать на флешке с пин-кодом виртуалку с СА. Самое бюджетное. Но таких флешек должно быть 2 :)

Лайк

А ключ на токене

самое главное - чтобы эта виртуалка не выходила в инет. вообще

Ну само собой. Пуленепробиваемый VPC в Амазоне.

Токены с флеш памятью бывает

Как вариант, можно держать на флешке с пин-кодом виртуалку с СА. Самое бюджетное. Но таких флешек должно быть 2 :)

Неплохая идея для мини продукта

Одминам может понравится :)

гы

да у меня таких идей тьма Х)

Если продам кому нибудь - с меня бутылка

окай (:

Девопсаны, помогите с синтаксисом ямла что-то я туплю... Вот таска: - name: Create the users mysql_user: name: "{{ item.name }}" password: "{{ item.password }}" priv: "{{ item.priv }}" state: present with_items: "{{ mariadb_users }}" А что мне вложить в переменную mariadb_users? Какой там синтаксис?

Как там обозначить 2 юзеров ivan 123456 petr 654321

Вроде понял

# Employee records - martin: name: Martin D'vloper job: Developer skills: - python - perl - pascal - tabitha: name: Tabitha Bitumen job: Developer skills: - lisp - fortran - erlang

Как там обозначить 2 юзеров ivan 123456 petr 654321

mariadb_users: - name: 'ivan' password: '123456' - name: 'petr' password: '654321'

mariadb_users: - name: 'ivan' password: '123456' - name: 'petr' password: '654321'

А он item понимает ка все что после - ,

?

mariadb_users - список. С символа "-" начинается элемент списка. with_items разбирает список.