OpenVPN без графічнага інтэрфейсу: сеанс пад наглядам ці кіраваная служба

Запуск OpenVPN праз SSH запускае яго на аддаленай машыне, у кантэксце выканання гэтай машыны. Гэта робіць яго зменай у аддаленай сетцы, а не проста націскам кнопкі здалёк. Два разумныя рэжымы — гэта сеанс на пярэднім плане пад наглядам і ўласная служба; у іх розная падрыхтоўка, розныя ўліковыя дадзеныя і розныя паводзіны пры збоі.

Два рэжымы, адзін профіль

Абодва рэжымы выкарыстоўваюць адзін профіль і абодва змяняюць маршрутызацыю на хаце. Розніца ў тым, хто прысутнічае пры запуску і што адбываецца пасля завяршэння сеансу.

Рэжым пярэдняга плана прызначаны для сеансу пад наглядам, дзе нехта прысутнічае. Рэжым службы — для злучэння, якое павінна ўзняцца без уваходу карыстальніка. Змешванне іх, калі працэс пярэдняга плана працягвае працаваць, а служба ўключана на тым жа профілі, — самая частая самастойна створаная паломка тут.

Што такое сеанс на пярэднім плане насамрэч

Працэс OpenVPN на пярэднім плане павінен працягваць працаваць, пакуль тунэль узняты. Initialization Sequence Completed азначае, што ініцыялізацыя скончана, а не тое, што трэба чакаць вяртання запрашэння. Графічная абалонка хавае гэтую доўгую працу за акном, і менавіта таму людзі чакаюць, што каманда SSH павядзе сябе гэтак жа. Яна не паводзіць сябе так.

Праверце доступ праграмы асобна. Заняты тэрмінал і адзін радок журнала не даказваюць ні поспеху, ні збою.

Што патрэбна службе без нагляду

Служба запускаецца з уласным уліковым запісам, працоўным каталогам і абмежаваннямі файлавай сістэмы, і ўсё гэта адрозніваецца ад вашай абалонкі. Выкарыстоўвайце яўныя шляхі і адпаведнага ўласніка, а не спадзявайцеся на тое, дзе вы выпадкова стаялі. Дайце юніту палітыку перазапуску, якую вы сапраўды хочаце, бо цыкл злучэння без адступу запаўняе журнал і раздражняе партнёра. Затым праверце, што яна ўздымаецца пасля перазагрузкі, а не пасля вашага наступнага ўваходу.

Інтэрактыўная MFA ламае сцэнар без нагляду па задуме. Калі профіль патрабуе код, які ўводзіць чалавек, гэта не служба без нагляду, а захаваны аднаразовы код — не праект уліковых дадзеных. Вырашыце гэта свядома, а не выяўляйце пры загрузцы.

Уліковыя дадзеныя — гэта чатыры розныя ўваходы

OpenVPN мае дапаможнік, які аддзяляе ўвод з кансолі, файлы ўліковых дадзеных, парольныя фразы прыватнага ключа і ўзаемадзеянне праз кіраванне. Пара імя карыстальніка і пароля — гэта адно, а парольная фраза зашыфраванага ключа — іншае. Інтэрфейс кіравання, які падае ўліковыя дадзеныя па запыце, — трэцяе. Выберыце механізм, які адпавядае вашаму праекту аўтэнтыфікацыі, замест таго каб зліваць усё ў адзін файл, бо гэта неяк спрацавала.

Ахоўвайце профілі і журналы, якія нясуць ідэнтычнасць або прыватныя матэрыялы. Уліковы запіс службы чытае іх, як і любы з правільным сяброўствам у групе.

Адзін уладальнік і шлях вяртання

Захавайце свой шлях адміністравання праз SSH, перш чым уключаць шырокі маршрут тунэля. Канфігурацыя поўнага тунэля з канчатковай кропкай, якая памірае, можа пакінуць машыну недасяжнай, і рамонт тады запатрабуе кансолі, якую вы не падрыхтавалі. Зацверджаная пазапалосная кансоль або свядомая палітыка вяртання кіравання — гэта страхоўка.

Выберыце аднаго ўладальніка канфігурацыі для руціннай працы. Аўтаматычная служба і працэс пярэдняга плана, якія спаборнічаюць за адны інтэрфейсы, маршруты і стан рэзалвера, ствараюць збоі, што выглядаюць як праблема правайдера. Спрычыняйце сеанс пад наглядам яго звычайным перапынкам, а кіраваны — праз яго кіраўнік, замест таго каб забіваць усе працэсы з імем openvpn.

Розніца, якую варта запісаць, простая: сеанс пад наглядам можа залежаць ад вашай сесіі, а служба без нагляду — не.