Сценарий: размещенная машина (обычно VPS), обслуживающая wiki, svn, git, форумы, списки рассылки (например: GNU mailman), Bugzilla (и т. д.) в частном порядке до <20 человек. Людям, не входящим в команду, не разрешен доступ. Поиск доступа к указанному серверу с ограничением по VPN. Хорошо пользователь опыт работы с серверами / клиентами на основе OpenVPN, но еще не получил администрирования таких систем. В противном случае опытный системный администратор Linux. Целевая система: Ubuntu, вероятно, 12.04.
Стремление разместить процесс OpenVPN на указанном выше сервере для «защиты» всех вышеупомянутых служб, позволяя только авторизованным OpenVPN клиентам / процессам получать доступ к указанным выше службам. (Можно легко получить дополнительный IP-адрес (а), если это необходимо для этой настройки.)
Вариант: если абсолютно необходимо, могу использовать дополнительный выделенный «VPN-сервер» VPS просто в качестве «внешнего интерфейса» моего VPN-сервера. Но предпочитайте, чтобы все серверные процессы (VPN-сервер и другие серверные приложения) работали на одном компьютере, если это возможно. Далее будет рассмотрено, позволяет ли настройка выделенного VPN-компьютера 1. упростить установку / администрирование, 2. улучшить / упростить работу конечного пользователя и / или 3. сделать систему значительно более безопасной.
Что из вышеперечисленного возможно?
Основное намерение: создать VPN из чисто размещенных ресурсов и не тратить все усилия на создание безопасного сайта, не относящегося к VPN, что обычно означает «обертку SSL» + все непрерывное управление обновлениями приложений веб-сервера. Позвольте серверу VPN заниматься безопасностью доступа и тратить время на то, чтобы опустить указанную безопасность в других приложениях / Apache.
Конечно. Вы можете сделать это двумя способами:
Привяжите все службы, которые вам нужны, к интерфейсу OpenVPN, чтобы они слушали только, скажем, 10.8.0.1. Убедитесь, что OpenVPN уже запущен, иначе службы не смогут правильно привязаться к интерфейсу.
Используйте iptables, чтобы разрешить только соединения, поступающие из сети OpenVPN, например, iptables -A FORWARD -s 10.8.0.0/24 -j ALLOW ; iptables -A FORWARD -j DROP с любыми дополнительными правилами, которые вам понадобятся, чтобы разрешить трафик OpenVPN в первую очередь, и некоторые коммуникации вне VPN, такие как ssh.
У вас есть какие-то более конкретные сценарии?