Başsız OpenVPN şlüzünə hansı proqram rolları tələb olunur

OpenVPN şlüzünə həsr edilmiş maşın dəstəklənən server quraşdırmasına və həqiqətən yerinə yetirdiyi işlər üçün proqram təminatına ehtiyac duyur. SSH, veb-hostinq və başqa server rolları təklif edən quraşdırıcı menyusu OpenVPN ilkin şərtlərinin siyahısı deyil. Başsız yerləşdirmə tamamilə məqbuldur. Vacib olan üç işi ayırmaqdır: tunnelı daşımaq, hostu idarə etmək və etimadnamə vermək.

Budur istifadə etdiyim inventar sırası və hər addımı bağlayan yoxlama.

1. Tunnel xidmətinə öz paketini və profilini verin

Ubuntu-nun OpenVPN server bələdçisi distribusiyanın openvpn paketini əmr sətri və xidmət konfiqurasiyası ilə istifadə edir. Eyni paket Linux müştərisi kimi xidmət edir və rolu konfiqurasiya seçir.

Bu o deməkdir ki, müştəri GUI-nin quraşdırılması hostu serverə çevirən şey deyil, onun silinməsi də onu başsız edən şey deyil. İşləyən instansın hansı profili oxuduğunu qeyd edin, çünki eyni qovluqdakı ikinci konfiqurasiya faylı heç kim fərq etmədən yüklənə bilər və demon hər iki halda uğur bildirir. İki profil olduqda hansının qalib gələcəyinə xidmət meneceri qərar verir və bu qərar təxminə deyil, qeydlərinizə aid olmalıdır.

2. İdarəetmə yolunu tunneldan əvvəl qərar verin

OpenSSH ayrı openssh-server paketindən gəlir və öz xidməti kimi işləyir. Administrator maşına SSH ilə çatmalı olduqda faydalıdır, lakin OpenVPN VPN paketlərini mübadilə etmək üçün SSH serverinə ehtiyac duymur. Lokal konsol və ya təsdiqlənmiş platforma idarəetmə kanalı başqa etibarlı yoldur. Marşrutlaşdırma və ya filtrləməni dəyişməzdən əvvəl hansına güvəndiyinizi qərar verin, çünki yeni tunnel özünü təmir etməyin yeganə sınanmamış yolu olmamalıdır.

3. Etimadnamələri təsdiqlənmiş sahibdən verin

Ubuntu nümunəsi kiçik PKI qurmaq üçün OpenVPN ilə birlikdə easy-rsa quraşdırır ki, bu da işləyən tunnel xidməti deyil, etimadnamə vermə roludur. Təşkilatın artıq təsdiqlənmiş vermə prosesi varsa, dərslikdə biri olduğu üçün əlaqəsiz CA yaratmaq əvəzinə ondan istifadə edin. Şlüzün öz şəxsi açarını və sertifikatını CA imzalama açarından ayrı saxlayın və imzalama ilə ehtiyat nüsxə yerini qəsdən seçin. Hər PKI faylını hər hosta köçürmək proqram tələbi deyil.

4. Masaüstü plaginlərini masaüstünə buraxın

NetworkManager redaktoru və ya idxal plagini bu iş axınından istifadə edən maşında məqsəd daşıyır. Şlüz OpenVPN danışdığı üçün lazım olan əlavə server funksiyası deyil.

Bağlantı üçün bir sahib seçin və eyni profilin ikinci, masaüstü ilə idarə olunan surətini başlatmayın.

5. Şlüzü real müştəri ilə qəbul edin

Daha az paket bitmiş şlüz demək deyil. Server hələ də təsdiqlənmiş dinləyiciyə, kimliklərə, marşrutlara, lazım olduqda yönləndirməyə, dar firewall siyasətinə və nəzərdə tutulan qayıdış yoluna ehtiyac duyur. Jurnallarının harada göründüyünü və yeniləmələrin necə tətbiq olunduğunu yazın, çünki bu iki cavab sonradan nasazlığın necə diaqnoz ediləcəyini müəyyən edir.

İnternetə çıxış dizaynı ilə özəl şəbəkəyə giriş dizaynının yönləndirmə tələbləri fərqlidir, ona görə heç nə açmazdan əvvəl hansını qurduğunuzu qərar verin. Bir təsdiqlənmiş müştəri qaldırın və tunnel göstəricisi əvəzinə nəzərdə tutulan resursu yoxlayın. Sonra xidməti nəzarətli şəkildə yenidən başladın və nəzarətsiz başlama yolunu təsdiqləyin, çünki yalnız kimsə baxanda qalxan şlüz hələ yerləşdirilməyib.