Идеи для обеспечения OpenVPN на маршрутизаторе OpenWrt

OpenVPN разработан, чтобы быть безопасным. Это только позволит клиентам, которым подписали ключи Вы. Самая важная вещь сохраняет закрытые ключи безопасными. Всегда шифруйте их на клиентах и проверяйте полномочия на файле ключей на сервере. Не сохраняйте закрытые ключи CA на сервере, ему не нужны они. Зашифруйте его, поместил его на pendrive и защищают его.

Сканеры портов не испытают никаких затруднений при нахождении сервера на любом порте, но они не смогут использовать его. Если Вы знаете, что будете только использовать его от ограниченного набора IP-адресов, затем любой ценой отключают все остальное с iptables. Однако большинство людей склонно использовать его от переменных местоположений, например, с ноутбуком. Вы могли автоматически запретить дюйм/с, которые пробуют недопустимые ключи, но bruteforcing RSA ключи как это неосуществим так или иначе.

Если ключи безопасны затем, самый большой риск является некоторой ошибкой в реализации OpenVPN, которая делает это уязвимым для нападений. Если это происходит, взломщик может выполнить произвольный код с полномочиями серверного процесса OpenVPN. Можно уменьшить эффект этого вида нападения, не выполнив сервер как корень. Добавьте это к своей конфигурации сервера:

user nobody
group nobody

Ваш файл конфигурации, кажется, использует другой синтаксис затем мой, но что-то вроде этого должно поддерживаться. Можно попробовать патч grsecurity за ядро, но я не уверен, что это работает над встроенными системами, и это было бы действительно плохо при создании этого незагрузочным случайно. Это делает ошибки выполнения произвольного кода тяжелее для использования.

Можно также увеличить размеры ключа. Ключи на 1 024 бита уже могут стать вскрываемыми в ближайшем будущем если не. Обязательно не генерируйте их с OpenSSL Debian.:)

Это - мое личное мнение, что фильтрация MAC-адреса абсолютно бесполезна. Легко фальсифицировать, и допустимые могут быть найдены легко. Используйте WPA2 CCMP со случайным ключом 63 байта длиной, и необходимо быть в порядке. Не позволяйте людям включить случайные кабели.

Я знаю, что нет многого ресурсов, доступных в маршрутизаторах, но можно попытаться регистрироваться. Я почти уверен, что не будет достаточного количества пространства на маршрутизаторе так журнал к другому хосту. Системный-журнал-ng может сделать это легко, я не знаю, как легкий это должно установить его на маршрутизаторе.