OpenVPN idarəetmə soketi: metriklər deyil, idarəetmə kanalı

İdarəetmə interfeysindən bir dəfə status soruşun və o, status portu kimi görünməyə başlayır. Amma o, status portu deyil. Müştəri qəbul edildikdən sonra protokolun idarəetmə əmrlərini verə bilər və həmin müştərini işlədən hesab bu əmrlərin demona edə biləcəyi hər şeyi miras alır. Ona yalnız oxunan axın kimi baxmaq, monitorinq inteqrasiyasını autentifikasiyasız konsola çevirən səhvdir.

İnanc və onun qiyməti

İnanc ondan ibarətdir ki, idarəetmə dinləyicisi metrik son nöqtəsinə bərabərdir: kollektor qoş, sayğacları oxu, davam et. Əslində isə kollektor idarəetmə imkanları olan sessiya açır və yerləşdirmə ilə bağlı etdiyiniz bütün digər fərziyyələr indi həmin kollektorun özünü yaxşı aparmasından asılıdır.

İnterfeysdə yalnız oxuma rejimi elan edilmir. Seçmək üçün müşahidəçi rolu yoxdur və konfiqurasiyadakı istifadəçi adı belə bir rol yaratmır.

Qəbul edilmiş müştərinin əslində nəyə sahib olduğu

İcma demonu eyni anda yalnız bir aktiv idarəetmə müştərisini qəbul edir. Bu tək yuva o deməkdir ki, GUI, skript və monitorinq agenti eyni vaxtda qoşula bilməz; birincisi sessiyanı saxlayarkən ikincisi gözləyir və ya uğursuz olur. Əgər dizaynınız eyni vaxtda oxuyanları nəzərdə tutursa, o, artıq səhvdir.

Dövri snapshot kifayət etdikdə, status faylının çıxışı sizə canlı sessiya olmadan eyni rəqəmləri verir. Həmin faylı müəyyən aralıqlarla yazmaq və adi fayl icazələri ilə oxumaq kollektoru idarəetmə müstəvisindən tamamilə kənarda saxlayır və əksər monitorinqin əslində ehtiyac duyduğu düzüm budur.

Açıq deyil, sahibi olunan soket

Unix domen soketi idarəetmə yolunu şəbəkədən kənarda saxlayır və bununla dəyişən tunel ünvanını problemdən çıxarır. Amma icazə məsələsini aradan qaldırmır. Ana qovluq xidmət hesabı tərəfindən yazıla bilən və nəzarətçinin hesabı tərəfindən əlçatan olmalıdır və bunlar iki ayrı icazədir:

management /run/openvpn/office-management.sock unix /etc/openvpn/management.password
management-client-user vpn-observer
management-client-group vpn-observer

Parol faylı idarəetmə sirrini ilk sətrində daşıyır. Həmin faylı hər hansı digər etimad məlumatı kimi qoruyun və məzmununu jurnallardan və dəstək biletlərindən uzaq saxlayın. İstifadəçi və qrup məhdudiyyətləri Unix soketində həmyaşıd yoxlamalarıdır, fayl sistemi icazələri deyil, buna görə nəzərdə tutulan proses həm fayl girişinə, həm də uyğun şəxsiyyətə ehtiyac duyur.

İcazə xətasını aradan qaldırmaq üçün soketi bütün dünyaya açmaq qaçmalı olduğunuz yeganə düzəlişdir. Bu, yerli idarəetmə kanalını hostdakı istənilən prosesin idarə edə biləcəyi bir şeyə çevirir.

Onu TCP üzərindən yayımlamaq eyni dizayn deyil

Dinləyicini TCP portuna köçürmək onu daha təhlükəsiz və ya daha rahat etmir. İdarəetmə parolu açıq şəkildə göndərilir, buna görə də TCP dinləyicisi həm etimad məlumatını, həm də sessiyanı yolu müşahidə edə bilən hər kəsə açır. Ona başqa hostdan çatmaq üçün səlahiyyətli inzibatı kanal və ya yalnız sizə lazım olan müşahidələri təqdim edən kiçik yerli agent tələb olunur.

Açıq mətn daşıyıcısı üzərində parol, məxfilik olmadan autentifikasiyadır və bu birləşmə göründüyündən daha pisdir, çünki özünü qorunan kimi hiss etdirir.

İstəmədiyiniz başlanğıc asılılıqları

Bir neçə idarəetmə seçimi demonun həyat dövrünü dəyişir. Başlanğıcı nəzarətçi qoşulana qədər saxlamak və ya nəzarətçi yox olduqda işi dayandırmaq, könüllü müşahidəçini sərt asılılığa çevirir. Onda çökən monitorinq agenti tuneli də özü ilə birlikdə aşağı salacaq.

Soketin özündən başqa bir şeyi aktivləşdirməzdən əvvəl həmin seçimləri nəzərdən keçirin. Könüllü müşahidə könüllü qalmalıdır və yenidən başlatma siyasəti qrafiklər üçün əlavə edilmiş kollektora bağlanmamalıdır.

Uğursuz prosesdən sonra qalan soket faylı dinləyicinin mövcudluğuna sübut deyil. Onu silməzdən əvvəl hansı instansın yola sahib olduğunu müəyyənləşdirin və işləyən demonun altındakı faylları silmək əvəzinə xidmətin öz bərpa iş axınından istifadə edin.

Qəbul necə görünür

Dizaynı dörd yoxlama əhatə edir: nəzərdə tutulan nəzarətçi şəxsiyyəti qoşulur, həmin şəxsiyyəti olmayan proses rədd edilir, demon xəbərdarlıq etmədən ayrılan nəzarətçidən sonra da sağ qalır və tunel nəzarətli yenidən başlatmadan sonra da trafiki daşıyır. Uğurlu idarəetmə bağlantısı yalnız idarəetmə müstəvisini sübut edir. Şəxsi tətbiq trafikinin işləyib-işləmədiyi barədə heç nə demir, ona görə bunu ayrıca yoxlayın. Dörd nəticəni növbəti operatorun tapa biləcəyi yerdə yazın.

İdarəetmə interfeysi sənədləri tək müştəri modelini və protokolun imtiyazlı xarakterini təsvir edir və bu, idarə panelini ona yönəltməzdən əvvəl oxumağa dəyər hissədir.