linux - 任何一方都可以启动连接时的安全性

Question

在任何一方都可以发起连接的系统之间提供安全性(加密和身份验证)的好方法是什么？

在我的情况下，有一个主系统和许多子系统。子系统启动与主系统的连接，以便报告数据，主系统启动与子系统的连接以发出命令。目前，我们在 Windows 上通过 kerberos 实现安全性，但我们正在引入未连接到 Active Directory 的 Linux 子级，因此 Kerberos 将不再是一个选项。

有没有办法做到这一点，而不需要树中的每台计算机都拥有自己的私钥/公钥对？跟踪起来似乎会很困惑。

Answer 1

我认为最好的选择是使用 SASL，原因有两个:

1. 您在客户端和服务器之间建立了有状态的双向连接
2. 您可以自由选择身份验证机制。如果可以使用 Kerberos，则可以完全加密整个流量。如果没有，您仍然可以将 STARTTLS 与 PKI 结合使用。