Watter sagtewarerolle ’n koppelose OpenVPN-deurgang nodig het

’n Masjien wat aan ’n OpenVPN-deurgang toegewyd is, het ’n ondersteunde bedienerinstallasie nodig en die sagteware vir die take wat dit werklik verrig. ’n Installeerderkieslys wat SSH, webhosting en ander bedienerrolle bied, is nie ’n lys van OpenVPN-vereistes nie. ’n Ontplooiing sonder skerm is heeltemal redelik. Wat saak maak, is om drie take te skei: die tonnel dra, die gasheer administreer en geloofsbriewe uitreik.

Hier is die inventarisorde wat ek gebruik, met die kontrole wat elke stap afsluit.

1. Gee die tonneldiens sy eie pakket en profiel

Ubuntu se OpenVPN-bedienergids gebruik die verspreiding se openvpn-pakket met ’n opdraglyn- en dienskonfigurasie. Dieselfde pakket dien as ’n Linux-kliënt, en die konfigurasie kies die rol.

Dit beteken dat die installering van ’n kliënt-GUI nie is wat die gasheer in ’n bediener verander nie, en die verwydering daarvan is nie wat dit sonder skerm maak nie. Teken aan watter profiel die lopende instansie lees, want ’n tweede konfigurasielêer in dieselfde gids kan gelaai word sonder dat iemand dit agterkom, en die daemon rapporteer in elk geval sukses. Wanneer twee profiele bestaan, besluit die diensbestuurder watter een wen, en daardie besluit hoort in jou notas eerder as in ’n raaiskoot.

2. Besluit die administrasiepad voor die tonnel

OpenSSH kom uit ’n aparte openssh-server-pakket en loop as sy eie diens. Dit is nuttig wanneer ’n administrateur die masjien oor SSH moet bereik, maar OpenVPN het nie ’n SSH-bediener nodig om VPN-pakkette uit te ruil nie. ’n Plaaslike konsole of ’n goedgekeurde platformbestuurkanaal is nog ’n geldige pad. Besluit op watter een jy vertrou voordat jy roetering of filtrering verander, want ’n nuwe tonnel moet nooit die enigste ongetoetste manier wees om homself te herstel nie.

3. Reik geloofsbriewe uit by die goedgekeurde eienaar

Die Ubuntu-voorbeeld installeer easy-rsa saam met OpenVPN om ’n klein PKI te bou, wat ’n geloofsbrief-uitreikingsrol is eerder as ’n lopende tonneldiens. As die organisasie reeds ’n goedgekeurde uitreikingsproses het, gebruik dit eerder as om ’n onverwante CA te skep omdat ’n tutoriaal een insluit. Hou die deurgang se eie private sleutel en sertifikaat apart van die CA-ondertekeningsleutel, en kies die ondertekenings- en rugsteunligging doelbewus. Om elke PKI-lêer op elke gasheer te kopieer, is nie ’n sagteware-vereiste nie.

4. Laat lessenaarinproppe aan lessenaars oor

’n NetworkManager-redigeerder of invoerinprop het ’n doel op ’n masjien wat daardie werkvloei gebruik. Dit is nie ’n ekstra bedienerfunksie wat nodig is omdat die deurgang OpenVPN praat nie.

Kies een eienaar vir die verbinding, en moenie ’n tweede, lessenaarbestuurde kopie van dieselfde profiel begin nie.

5. Keur die deurgang goed met ’n werklike kliënt

Minder pakkette is nie ’n voltooide deurgang nie. Die bediener het steeds ’n goedgekeurde luisteraar, identiteite, roetes, aanstuur waar nodig, ’n noue firewallbeleid en die beoogde terugpad nodig. Skryf neer waar sy logboeke verskyn en hoe opdaterings toegepas word, want daardie twee antwoorde bepaal hoe ’n fout later gediagnoseer word.

’n Internettrap-ontwerp en ’n privaatnetwerk-toegang-ontwerp het verskillende aanstuurvereistes, so besluit watter een jy bou voordat jy enigiets oopmaak. Bring een goedgekeurde kliënt op en kontroleer die beoogde hulpbron eerder as die tonnelaanwyser. Herbegin dan die diens op ’n beheerde manier en bevestig die onbewaakte opstartpad, want ’n deurgang wat net opkom terwyl iemand kyk, is nog nie ontplooi nie.