Якія праграмныя ролі патрэбны шлюзу OpenVPN без інтэрфейсу

Машыне, выдзеленай пад шлюз OpenVPN, патрэбная падтрымліваемая ўстаноўка сервера і праграмнае забеспячэнне для задач, якія яна фактычна выконвае. Меню ўсталёўшчыка, якое прапануе SSH, вэб-хостынг і іншыя ролі сервера, не з’яўляецца спісам патрабаванняў OpenVPN. Разгортванне без інтэрфейсу цалкам разумнае. Важна тое, каб аддзяліць тры задачы: перанос тунелю, адміністраванне хоста і выдачу ўліковых даных.

Вось парадак інвентарызацыі, які я выкарыстоўваю, з праверкай, што закрывае кожны крок.

1. Дайце службе тунелю ўласны пакет і профіль

Кіраўніцтва па серверы OpenVPN ад Ubuntu выкарыстоўвае пакет openvpn дыстрыбутыва з каманднай радком і канфігурацыяй службы. Той жа пакет служыць кліентам Linux, а ролю выбірае канфігурацыя.

Гэта значыць, што ўстаноўка кліенцкага GUI не робіць хост серверам, і выдаленне яго не робіць хост бясэкранным. Запішыце, які профіль чытае запушчаны асобнік, бо другі файл канфігурацыі ў той жа папцы можа загрузіцца незаўважна, а дэман у любым выпадку паведаміць пра поспех. Калі існуюць два профілі, рашэнне, які пераможа, прымае менеджар службы, і гэта рашэнне павінна быць у вашых нататках, а не ў здагадцы.

2. Вызначце шлях адміністравання да тунелю

OpenSSH пастаўляецца асобным пакетам openssh-server і працуе як уласная служба. Ён карысны, калі адміністратар павінен дасягаць машыны праз SSH, але OpenVPN не патрабуе SSH-сервера для абмену VPN-пакетамі. Лакальная кансоль або ўзгоджаны канал кіравання платформай — іншы дапушчальны шлях. Вызначце, на які вы разлічваеце, перш чым змяняць маршрутызацыю або фільтрацыю, бо новы тунель ніколі не павінен быць адзіным непратэставаным спосабам адрамантаваць сябе.

3. Выдавайце ўліковыя даныя ад узгоджанага ўладальніка

Прыклад Ubuntu усталёўвае easy-rsa побач з OpenVPN, каб пабудаваць невялікую PKI, што з’яўляецца роляй выдачы ўліковых даных, а не працуючай службай тунелю. Калі ў арганізацыі ўжо ёсць узгоджаны працэс выдачы, выкарыстоўвайце яго замест стварэння непавязанага CA, таму што ў падручніку ён ёсць. Трымайце ўласны прыватны ключ і сертыфікат шлюза асобна ад ключа подпісу CA і свядома выбірайце месца для подпісу і рэзервовага капіявання. Капіраванне кожнага файла PKI на кожны хост — не праграмнае патрабаванне.

4. Пакіньце настольныя плагіны настольным камп’ютарам

Рэдактар NetworkManager або плагін імпарту мае сэнс на машыне, якая выкарыстоўвае гэты працоўны працэс. Гэта не дадатковая функцыя сервера, патрэбная таму, што шлюз размаўляе на OpenVPN.

Выберыце аднаго ўладальніка злучэння і не запускайце другую, кіраваную з працоўнага стала копію таго ж профілю.

5. Прыміце шлюз рэальным кліентам

Менш пакетаў — яшчэ не гатовы шлюз. Сервер усё яшчэ патрабуе ўзгоджанага слухача, ідэнтычнасцяў, маршрутаў, перасылання там, дзе трэба, вузкай палітыкі брандмаўэра і меркаванага зваротнага шляху. Запішыце, дзе з’яўляюцца яго журналы і як прымяняюцца абнаўленні, бо гэтыя два адказы вызначаюць, як пазней будзе дыягнаставацца збой.

Дызайн выхаду ў інтэрнэт і дызайн доступу да прыватнай сеткі маюць розныя патрабаванні да перасылання, таму вызначце, які вы будуеце, перш чым нешта адкрываць. Падніміце аднаго ўзгоджанага кліента і праверце мэтавы рэсурс, а не індыкатар тунелю. Затым перазапусціце службу кантраляваным спосабам і пацвердзіце шлях аўтаматычнага запуску, бо шлюз, які падымаецца толькі тады, калі хтосьці глядзіць, яшчэ не разгорнуты.