Могу ли я запустить VPN-сервер только с сертификатами и без пароля / общих ключей?
Я видел несколько статей о обсуждении конфигурации VPN-сервера. Во всех них есть 2 или 3 предварительно общих ключа / пароля, используемых на разных уровнях туннеля - один для IPSec, один для L2TP, один для PPP.
Это кажется глупым. Я всегда придерживался мнения, зачем использовать (относительно) крошечный, небезопасный пароль, если вы можете использовать программный токен произвольной длины?
В лучшем случае, однако, я видел предложение использовать racoon для обработки аутентификации на основе сертификатов на уровне IPSec. Это все еще оставляет 2 других слоя для беспокойства. Могу ли я сделать лучше? Если нет, было бы возможно / надежно опустить PSK на 2 из 3 уровней и при этом ограничить использование только авторизованными учетными записями?
Я специально ищу что-то, что хорошо работает кроссплатформенно, с мобильными и настольными клиентами. Я также больше озабочен маскировкой IP, чем безопасностью, поэтому "лучшее" шифрование не имеет значения.
1 ответ
Когда вы открыты для других VPN-решений, я бы порекомендовал установить OpenVPN, его гораздо проще настроить, он поддерживает проверку подлинности с помощью сертификатов и множество клиентов для всех платформ.
поставляется с easyrsa3 для легкого управления PKI.
С помощью этой установки PKI вы можете генерировать клиентов для сервера и всех клиентов и распространять их в формате pkcs12
Это намного проще в настройке и обслуживании, чем любая реализация IPSec, которую я видел до сих пор.