Кои софтуерни роли са нужни на безекранен OpenVPN шлюз

Машината, посветена на OpenVPN шлюз, се нуждае от поддържана сървърна инсталация и от софтуера за задачите, които тя действително изпълнява. Менюто на инсталатора, което предлага SSH, уеб хостинг и други сървърни роли, не е списък с предварителни изисквания за OpenVPN. Разгръщането без екран е напълно разумно. Важното е да разделите три задачи: пренасяне на тунела, администриране на хоста и издаване на идентификационни данни.

Ето реда на инвентаризация, който използвам, с проверката, която затваря всяка стъпка.

1. Дайте на тунелната услуга собствен пакет и профил

Ръководството за OpenVPN сървър на Ubuntu използва пакета openvpn на дистрибуцията с команден ред и конфигурация на услугата. Същият пакет служи като Linux клиент, а ролята се избира от конфигурацията.

Това означава, че инсталирането на клиентски GUI не превръща хоста в сървър и премахването му не го прави безекранен. Запишете кой профил чете работещата инстанция, защото втори конфигурационен файл в същата папка може да се зареди незабелязано и демонът съобщава за успех и в двата случая. Когато има два профила, мениджърът на услуги решава кой печели и това решение принадлежи в бележките ви, а не в догадка.

2. Решете пътя за администриране преди тунела

OpenSSH идва от отделен пакет openssh-server и работи като собствена услуга. Полезен е, когато администраторът трябва да достига машината през SSH, но OpenVPN не се нуждае от SSH сървър, за да обменя VPN пакети. Локална конзола или одобрен канал за управление на платформата е друг валиден път. Решете на кой разчитате, преди да промените маршрутизацията или филтрирането, защото новият тунел никога не бива да бъде единственият непроверен начин да поправи себе си.

3. Издавайте идентификационни данни от одобрения собственик

Примерът на Ubuntu инсталира easy-rsa заедно с OpenVPN, за да изгради малка PKI, което е роля за издаване на идентификационни данни, а не работеща тунелна услуга. Ако организацията вече има одобрен процес за издаване, използвайте него, вместо да създавате несвързан CA, защото урокът включва един. Пазете собствения частен ключ и сертификат на шлюза отделно от ключа за подписване на CA и избирайте съзнателно мястото за подписване и резервно копие. Копирането на всеки PKI файл на всеки хост не е софтуерно изискване.

4. Оставете настолните плъгини на настолните компютри

Редакторът на NetworkManager или плъгинът за импортиране имат предназначение на машина, която използва този работен процес. Това не е допълнителна сървърна функция, нужна защото шлюзът говори OpenVPN.

Изберете един собственик на връзката и не стартирайте второ копие на същия профил, управлявано от настолен компютър.

5. Приемете шлюза с реален клиент

По-малко пакети не означава завършен шлюз. Сървърът все още се нуждае от одобрен слушател, идентичности, маршрути, препращане където е нужно, тясна политика на защитната стена и предвидения обратен път. Запишете къде се появяват журналите му и как се прилагат актуализациите, защото тези два отговора решават как ще се диагностицира повреда по-късно.

Дизайнът с изход към интернет и дизайнът с достъп до частна мрежа имат различни изисквания за препращане, затова решете кой изграждате, преди да отворите нещо. Вдигнете един одобрен клиент и проверете предвидения ресурс, а не индикатора на тунела. След това рестартирайте услугата контролирано и потвърдете пътя за автоматично стартиране, защото шлюз, който се вдига само докато някой гледа, още не е разгърнат.