OpenVPN без графичен интерфейс: сесия под надзор или управлявана услуга

Стартирането на OpenVPN през SSH го стартира на отдалечената машина, в контекста на изпълнение на тази машина. Това го прави промяна в отдалечената мрежа, а не просто отдалечено натискане на бутон. Двата разумни режима са сесия на преден план под надзор и собствена услуга, и те имат различна подготовка, различни идентификационни данни и различно поведение при отказ.

Два режима, един профил

И двата режима използват един и същ профил и двата променят маршрутизацията на хоста. Разликата е кой присъства при стартирането и какво се случва след края на сесията.

Режимът на преден план е за връзка под надзор, при която има човек. Режимът на услуга е за връзка, която трябва да се вдигне без никого влязъл. Смесването им, като оставите процес на преден план да работи и същевременно включите услуга на същия профил, е най-честата самопричинена повреда тук.

Какво всъщност е сесията на преден план

Процесът OpenVPN на преден план трябва да продължи да работи, докато тунелът е активен. Initialization Sequence Completed означава, че инициализацията е завършила, а не че трябва да чакате връщане на подканата. Графичният интерфейс скрива тази дълга работа зад прозорец и точно затова хората очакват командата по SSH да се държи по същия начин. Не се държи така.

Проверете достъпа на приложението отделно. Зает терминал и един ред в журнала не доказват нито успех, нито провал.

От какво се нуждае услуга без надзор

Услугата стартира със собствен акаунт, работна директория и ограничения на файловата система и всичко това се различава от вашата обвивка. Използвайте явни пътища и подходяща собственост, вместо да разчитате къде случайно сте застанали. Дайте на юнита политика за рестартиране, която наистина искате, защото цикъл на свързване без отстъпване пълни журнала и дразни партньора. След това проверете, че се вдига след рестарт, а не след следващото ви влизане.

Интерактивната MFA чупи сценария без надзор по замисъл. Ако профилът изисква код, въведен от човек, това не е услуга без надзор, а съхранен еднократен код не е проект на идентификационни данни. Решете го съзнателно, вместо да го откриете при зареждане.

Идентификационните данни са четири различни входа

OpenVPN има ръководство, което разделя конзолния вход, файловете с идентификационни данни, паролите за частен ключ и взаимодействието, управлявано от интерфейса за управление. Двойката потребителско име и парола е едно, а паролата на криптиран ключ е друго. Интерфейс за управление, който подава идентификационни данни при поискване, е трето. Изберете механизма, който отговаря на вашия проект за удостоверяване, вместо да слепвате всичко в един файл, защото това веднъж е проработило.

Пазете профилите и журналите, които носят самоличност или лични материали. Акаунтът на услугата ги чете, както и всеки с правилно членство в група.

Един собственик и път за връщане

Запазете административния си път по SSH, преди да включите широк маршрут през тунела. Конфигурация на пълен тунел с крайна точка, която умира, може да остави машината недостъпна, а поправката тогава изисква конзола, която не сте осигурили. Одобрена извънлентова конзола или съзнателна политика за връщане на управлението е застраховката.

Изберете един собственик на конфигурацията за рутинна работа. Автоматична услуга и процес на преден план, които се състезават за едни и същи интерфейси, маршрути и състояние на резолвера, дават откази, които изглеждат като проблем на доставчика. Спрете сесия под надзор с нормалното ѝ прекъсване, а управлявана — през нейния мениджър, вместо да убивате всеки процес с име openvpn.

Разграничението, което си струва да запишете, е просто: сесията под надзор може да зависи от вашата сесия, а услугата без надзор — не.