linux - 任何一方都可以开始连接时的安全性

Question

在任何一方都可以启动连接的系统之间提供安全性（加密和身份验证）的好方法是什么？

在我的情况下，有一个主系统和许多子系统。子系统启动与主系统的连接以便它们可以报告数据，并且主系统启动与子系统的连接以发出命令。目前我们在 Windows 上通过 kerberos 实现安全性，但我们正在引入未连接到 Active Directory 的 linux 子级，因此 kerberos 将不再是一个选项。

如果树中的每台计算机都没有自己的私钥/公钥对，有没有办法做到这一点？这似乎是一团糟。

Answer 1

我认为最好的选择是将 SASL 用于两个原因：

1. 您在客户端和服务器之间有一个有状态的双向连接
2. 您可以自由选择身份验证机制。如果可以使用 Kerberos，则可以完全加密整个流量。如果没有，您仍然可以将 STARTTLS 与 PKI 一起使用。