Koje softverske uloge su potrebne bezzaslonskom OpenVPN pristupu

Mašina posvećena OpenVPN pristupu treba podržanu serversku instalaciju i softver za poslove koje zaista obavlja. Instalacioni meni koji nudi SSH, web hosting i druge serverske uloge nije spisak OpenVPN preduslova. Postavljanje bez zaslona je potpuno razumno. Važno je razdvojiti tri posla: prenošenje tunela, administraciju hosta i izdavanje akreditiva.

Ovo je redoslijed popisa koji koristim, s provjerom koja zatvara svaki korak.

1. Dajte tunelskoj usluzi vlastiti paket i profil

Vodič za OpenVPN server na Ubuntuu koristi distribucijski paket openvpn s komandnom linijom i konfiguracijom usluge. Isti paket služi kao Linux klijent, a ulogu bira konfiguracija.

To znači da instaliranje klijentskog GUI-ja nije ono što host pretvara u server, a njegovo uklanjanje nije ono što ga čini bezzaslonskim. Zabilježite koji profil čita pokrenuta instanca, jer se drugi konfiguracijski fajl u istom direktoriju može učitati bez da ikome to padne na pamet, a demon u oba slučaja prijavljuje uspjeh. Kad postoje dva profila, servisni menadžer odlučuje koji pobjeđuje, a ta odluka pripada vašim bilješkama, a ne nagađanju.

2. Odlučite o putu administracije prije tunela

OpenSSH dolazi iz zasebnog paketa openssh-server i radi kao vlastita usluga. Koristan je kad administrator treba da dosegne mašinu preko SSH-a, ali OpenVPN ne treba SSH server za razmjenu VPN paketa. Lokalna konzola ili odobren kanal za upravljanje platformom drugi je valjan put. Odlučite na koji se oslanjate prije nego promijenite rutiranje ili filtriranje, jer novi tunel nikada ne smije biti jedini neisprobani način da sam sebe popravi.

3. Izdajte akreditive od odobrenog vlasnika

Ubuntu primjer instalira easy-rsa uz OpenVPN da bi izgradio mali PKI, što je uloga izdavanja akreditiva, a ne pokrenuta tunelska usluga. Ako organizacija već ima odobren proces izdavanja, koristite ga umjesto stvaranja nepovezanog CA-a zato što ga vodič sadrži. Držite vlastiti privatni ključ i certifikat pristupa odvojeno od CA ključa za potpisivanje, a mjesto za potpisivanje i sigurnosnu kopiju birajte namjerno. Kopiranje svakog PKI fajla na svaki host nije softverski zahtjev.

4. Ostavite desktop dodatke desktopima

NetworkManager uređivač ili dodatak za uvoz ima svrhu na mašini koja koristi taj tok rada. To nije dodatna serverska funkcija potrebna zato što pristup govori OpenVPN.

Odaberite jednog vlasnika veze i ne pokrećite drugu, s desktopa upravljanu kopiju istog profila.

5. Prihvatite pristup stvarnim klijentom

Manje paketa nije gotov pristup. Serveru još trebaju odobreni slušalac, identiteti, rute, prosljeđivanje gdje je potrebno, uska firewall politika i predviđeni povratni put. Zapišite gdje se pojavljuju njegovi logovi i kako se primjenjuju ažuriranja, jer ta dva odgovora određuju kako će se kvar kasnije dijagnosticirati.

Dizajn izlaza na internet i dizajn pristupa privatnoj mreži imaju različite zahtjeve za prosljeđivanje, zato odlučite koji gradite prije nego što bilo šta otvorite. Podignite jednog odobrenog klijenta i provjerite predviđeni resurs, a ne indikator tunela. Zatim ponovo pokrenite uslugu na kontroliran način i potvrdite put automatskog pokretanja, jer pristup koji se podiže samo dok neko gleda još nije postavljen.