Какая минимальная мощность VPS для развертывания OpenVPN?

Question

[Kas Nazarov]

Хочу развернуть свою OpenVPN и Центр сертификации для нее, то есть нужно арендовать две VPS'ки. Спросите почему ЦС хочешь поставить отдельно, отвечу "безопасность". Возвращаясь к теме вопроса, сколько нужно CPU, RAM и SSD или HDD для развертывания OpenVPN и отдельного ЦС?

Пока хочу просто протестировать, не хотелось бы покупать сразу хорошее железо...

ПРАВКА: на OpenVPN будет цепляться человек 5 максимум!!!

Comments

[maxsmeller]

А сколько клиентов то будет висеть на таком хосте? Для личного использования, или сотни тысяч юзеров? Может с этого начнем?

Answer 1

[rPman]

размещение 'центра сертификации' отдельно от сервера openvpn не повысит безопасность ни в каком смысле, центр сертификатов это просто набор утилит и файловое хранилище, к которому openvpn должен иметь доступ на запись, имея доступ к ключам хотя бы на чтение можно делать что угодно (например подключаться под любым пользователем и делать mitm)

Требования по openvpn очень маленькие, считанные десятки мегабайт ram и мегабайты на диске, так что бери любой vps, но openvpn (как и любой другой vpn сервер но конкретно этот самый жрущий) очень требователен по процессору, если тебе нужен мегабит, тебе хватит любой слабой машины, но если ты хочешь сотни мегабит, то тебе понадобится топовый процессор (и он не распаралеливает нагрузку по ядрам)

Comments

[res2001]

На сколько помню, openvpn не нужен доступ на запись к ключам - он туда ничего не пишет. Достаточно чтения.
Из всех приватных ключей openvpn использует только собственный приватный ключ (ключ сервера). Все остальные ключи - публичные (сертификаты ЦА и клиентские). У каждого клиента так же должен быть только один приватный ключ - свой. Приватный ключ ЦС должен быть доступен только ЦС, openvpn его не использует.

Так что выделение ЦС отдельно вполне здравая мысль, особенно если планируется большое количество клиентов.
Вопрос только - зачем ЦСу VPS? Разворачивайте ЦС где-то в доверенном месте (в офисе).
Разве что давать возможность клиенту самому удаленно генерировать свои ключи. Это, безусловно, правильно, но даже в этом случае предоставлять доступ к ЦС не нужно. Нужно только обеспечить канал передачи клиентом запроса на сертификат в ЦС и получение ответа. Ну и конечно предоставлять клиенту мануал по генерации ключей в картинках и соответствующее ПО. Запрос на сертификат содержит публичный ключ клиента, так что его вполне можно передавать по открытым каналам, так же как и сам сертификат.
Так же есть смысл сразу подумать об использовании списка отзыва сертификатов и поднять свой OCSP, доступный из интернет.

[Kas Nazarov]

res2001, Огромное спасибо, дало больше ясности ваше описание! Хотелось бы с вами пообщаться по больше на данную тему, если имеется такая возможность!

[res2001]

Kas Nazarov, В профиле есть почта, можете написать.
Но я больше "теоретик" :) Сейчас имею мало отношения и с ВПН и с шифрованием, в основном как пользователь.

Answer 2

[Drno]

От 512рам и 5гб диск
Про безопастность - это бред)

Answer 3

[harmboy]

достаточно самой минимальной конфигурации, которую предлагают хостеры.