OpenVPN sonder skerm: sessie onder toesig of 'n bestuurde diens

Om OpenVPN oor SSH te begin, begin dit op die afgeleë masjien, in daardie masjien se uitvoeringskonteks. Dit maak dit 'n verandering aan die afgeleë netwerk eerder as 'n afgeleë knoppiedruk. Die twee sinvolle modusse is 'n voorgrondsessie onder toesig en 'n diens wat jy self besit, en hulle het verskillende voorbereiding, verskillende geloofsbriewe en verskillende foutgedrag.

Twee modusse, een profiel

Albei modusse gebruik dieselfde profiel en albei verander die roetering op die gasheer. Wat verskil, is wie teenwoordig is wanneer dit begin, en wat ná die sessie gebeur.

Die voorgrondmodus is vir 'n verbinding onder toesig waar iemand teenwoordig is. Die diensmodus is vir 'n verbinding wat moet opkom sonder dat iemand aangemeld is. Om hulle te meng, deur 'n voorgrondproses te laat loop terwyl jy ook 'n diens op dieselfde profiel aktiveer, is die algemeenste selfveroorsaakte breek hier.

Wat die voorgrondsessie werklik is

'n Voorgrond-OpenVPN-proses is veronderstel om te bly loop terwyl die tonnel op is. Initialization Sequence Completed beteken die inisialisering is klaar, nie dat jy moet wag dat 'n opdragprompt terugkeer nie. 'n Lessenaar-GUI verberg daardie langdurige werk agter 'n venster, en dit is juis waarom mense verwag dat die SSH-opdrag dieselfde moet doen. Dit doen nie.

Kontroleer die toepassing se toegang afsonderlik. 'n Besette terminaal en een logreël bewys nóg sukses nóg mislukking.

Wat 'n onbewaakte diens nodig het

'n Diens begin met sy eie rekening, werkmap en lêerstelselbeperkings, en dit alles verskil van jou dop. Gebruik eksplisiete paaie en toepaslike eienaarskap eerder as om te vertrou op waar jy toevallig gestaan het. Gee die eenheid 'n herbeginbeleid wat jy werklik wil, want 'n verbindingslus sonder terugtrekking vul 'n log en irriteer die eweknie. Verifieer dan dat dit ná 'n herbegin opkom, nie ná jou volgende aanmelding nie.

Interaktiewe MFA breek die onbewaakte geval per ontwerp. As die profiel 'n kode vereis wat deur 'n persoon ingetik word, is dit nie 'n onbewaakte diens nie, en 'n gestoorde eenmalige kode is nie 'n geloofsbrief-ontwerp nie. Besluit dit doelbewus in plaas daarvan om dit by die selflaai te ontdek.

Geloofsbriewe is vier verskillende insette

OpenVPN se handleiding skei konsole-invoer, geloofsbrieflêers, privaatsleutel-wagfrases en bestuursgedrewe interaksie. 'n Gebruikersnaam en wagwoord is een ding, en 'n geënkripteerde sleutel se wagfrase is 'n ander. 'n Bestuurskoppelvlak wat geloofsbriewe op versoek verskaf, is 'n derde. Kies die meganisme wat by jou verifikasie-ontwerp pas, eerder as om alles in een lêer saam te voeg omdat dit een keer gewerk het.

Beskerm die profiele en logs wat identiteit of private materiaal dra. Die diensrekening lees hulle, en so ook enigiemand met die regte groeplidmaatskap.

Een eienaar, en 'n pad terug

Bewaar jou SSH-administrasiepad voordat jy 'n breë tonnelroete aktiveer. 'n Voltonnel-konfigurasie met 'n eindpunt wat sterf, kan die masjien onbereikbaar laat, en die regstelling behels dan 'n konsole wat jy nie gereël het nie. 'n Goedgekeurde buiteband-konsole of 'n doelbewuste bestuurs-terugkeerbeleid is die versekering.

Kies een konfigurasie-eienaar vir roetinewerking. 'n Outomatiese diens en 'n voorgrondproses wat om dieselfde koppelvlakke, roetes en oplosser-toestand meeding, lewer foute wat soos 'n verskafferprobleem lyk. Stop 'n loop onder toesig met sy normale onderbreking, en stop 'n bestuurde een via sy bestuurder eerder as om elke proses met die naam openvpn dood te maak.

Die onderskeid om neer te skryf is eenvoudig: 'n loop onder toesig mag van jou sessie afhang, en 'n onbewaakte diens mag nie.