OpenVPN bez sučelja: nadzirana sesija ili upravljana usluga
Pokretanje OpenVPN-a preko SSH-a je promjena na udaljenoj mreži. Odaberite nadziranu sesiju ili vlastitu uslugu i pripremite vjerodajnice i put natrag.
Pokretanje OpenVPN-a preko SSH-a pokreće ga na udaljenom računaru, u izvršnom kontekstu tog računara. To ga čini promjenom na udaljenoj mreži, a ne samo udaljenim pritiskom na dugme. Dva razumna načina rada su nadzirana sesija u prvom planu i vlastita usluga; imaju različitu pripremu, različite vjerodajnice i različito ponašanje pri otkazu.
Dva načina, jedan profil
Oba načina koriste isti profil i oba mijenjaju usmjeravanje na hostu. Razlika je ko je prisutan pri pokretanju i šta se dešava nakon završetka sesije.
| Mode | Useful for | What it needs |
|---|---|---|
| Supervised foreground session | A connection with a human watching and able to type | A usable terminal, a reviewed profile and recovery access |
| Managed service | An unattended lifecycle that starts without a login | Owned configuration, supported credential delivery and restart policy |
Način u prvom planu je za nadziranu vezu gdje je neko prisutan. Način usluge je za vezu koja treba da se podigne bez ikoga prijavljenog. Miješanje njih, ostavljanjem procesa u prvom planu da radi dok istovremeno omogućavate uslugu na istom profilu, najčešći je samonaneseni kvar ovdje.
Šta je nadzirana sesija u prvom planu zaista
Proces OpenVPN-a u prvom planu treba da nastavi raditi dok je tunel aktivan. Initialization Sequence Completed znači da je inicijalizacija završena, a ne da treba čekati vraćanje upita. Desktop GUI sakriva taj dugotrajni rad iza prozora i upravo zato ljudi očekuju da se SSH komanda ponaša isto. Ne ponaša se tako.
Provjerite pristup aplikacije odvojeno. Zauzet terminal i jedan red u dnevniku ne dokazuju ni uspjeh ni neuspjeh.
Šta treba nenadziranoj usluzi
Usluga se pokreće s vlastitim računom, radnim direktorijem i ograničenjima datotečnog sistema, i sve se to razlikuje od vaše ljuske. Koristite izričite putanje i odgovarajuće vlasništvo umjesto oslanjanja na to gdje ste slučajno stajali. Dajte jedinici politiku ponovnog pokretanja koju zaista želite, jer petlja povezivanja bez odgode puni dnevnik i iritira partnera. Zatim provjerite da se diže nakon ponovnog pokretanja, a ne nakon vaše sljedeće prijave.
Interaktivna MFA kvari nenadzirani slučaj po dizajnu. Ako profil zahtijeva kod koji unosi osoba, to nije nenadzirana usluga, a sačuvani jednokratni kod nije dizajn vjerodajnica. Odlučite to namjerno umjesto da otkrijete pri podizanju.
Vjerodajnice su četiri različita ulaza
OpenVPN ima priručnik koji razdvaja unos s konzole, datoteke vjerodajnica, fraze za privatni ključ i interakciju koju vodi upravljački interfejs. Par korisničkog imena i lozinke je jedno, a fraza za šifrirani ključ drugo. Upravljački interfejs koji daje vjerodajnice na zahtjev je treći. Odaberite mehanizam koji odgovara vašem dizajnu autentifikacije umjesto da sve spojite u jednu datoteku jer je to jednom uspjelo.
Zaštitite profile i dnevnike koji nose identitet ili privatni materijal. Račun usluge ih čita, kao i svako s pravim članstvom u grupi.
Jedan vlasnik i put natrag
Sačuvajte svoju SSH administrativnu putanju prije nego omogućite široku rutu tunela. Konfiguracija punog tunela s krajnjom tačkom koja umre može ostaviti računar nedostupnim, a popravka tada uključuje konzolu koju niste osigurali. Odobrena vanpojasna konzola ili namjerna politika vraćanja upravljanja je osiguranje.
Odaberite jednog vlasnika konfiguracije za rutinski rad. Automatska usluga i proces u prvom planu koji se takmiče za iste interfejse, rute i stanje rezolvera stvaraju kvarove koji izgledaju kao problem provajdera. Zaustavite nadzirano pokretanje njegovim normalnim prekidom, a upravljano preko njegovog menadžera umjesto ubijanja svakog procesa pod imenom openvpn.
Razlika koju treba zapisati je jednostavna: nadzirano pokretanje može zavisiti od vaše sesije, a nenadzirana usluga ne smije.