OpenVPN sense interfície: sessió supervisada o servei gestionat

Engegar OpenVPN per SSH l'inicia a la màquina remota, en el context d'execució d'aquesta màquina. Això el converteix en un canvi a la xarxa remota i no pas en una simple pulsació de botó remota. Els dos modes sensats són una sessió supervisada en primer pla i un servei propi; tenen una preparació, unes credencials i un comportament de fallada diferents.

Dos modes, un perfil

Tots dos modes consumeixen el mateix perfil i tots dos canvien l'encaminament a l'amfitrió. El que difereix és qui hi és present quan s'inicia i què passa després que acabi la sessió.

El mode en primer pla és per a una connexió supervisada on hi ha algú present. El mode servei és per a una connexió que ha d'aixecar-se sense que ningú hi estigui connectat. Barrejar-los, deixant un procés en primer pla en marxa i alhora habilitant un servei amb el mateix perfil, és l'avaria més habitual que hom es causa aquí.

Què és realment la sessió en primer pla

Un procés OpenVPN en primer pla ha de continuar funcionant mentre el túnel és actiu. Initialization Sequence Completed vol dir que la inicialització ha acabat, no que hàgiu d'esperar que torni un indicador. Una interfície gràfica amaga aquesta feina llarga darrere d'una finestra, i és exactament per això que la gent espera que l'ordre SSH es comporti igual. No ho fa.

Comproveu l'accés de l'aplicació per separat. Un terminal ocupat i una línia de registre no proven ni èxit ni fracàs.

Què necessita un servei sense supervisió

Un servei s'inicia amb el seu propi compte, directori de treball i restriccions de sistema de fitxers, i tot això difereix de la vostra shell. Feu servir camins explícits i una propietat adequada en lloc de confiar en on éreu casualment. Doneu a la unitat una política de reinici que vulgueu de debò, perquè un bucle de connexió sense retrocés omple un registre i irrita el parell. Després verifiqueu que s'aixeca després d'un reinici i no després del vostre proper inici de sessió.

L'MFA interactiva trenca el cas sense supervisió per disseny. Si el perfil necessita un codi escrit per una persona, no és un servei sense supervisió, i un codi d'un sol ús desat no és un disseny de credencials. Decidiu-ho deliberadament en lloc de descobrir-ho a l'arrencada.

Les credencials són quatre entrades diferents

El manual d'OpenVPN separa l'entrada de consola, els fitxers de credencials, les contrasenyes de clau privada i la interacció dirigida per la gestió. Un parell d'usuari i contrasenya és una cosa, i la contrasenya d'una clau xifrada n'és una altra. Una interfície de gestió que subministra credencials a petició és la tercera. Trieu el mecanisme que encaixa amb el vostre disseny d'autenticació en lloc de concatenar-ho tot en un sol fitxer perquè això va funcionar una vegada.

Protegiu els perfils i els registres que porten identitat o material privat. El compte de servei els llegeix, i també qualsevol amb la pertinença al grup correcte.

Un propietari, i una via de retorn

Preserveu la vostra via d'administració SSH abans d'habilitar una ruta de túnel àmplia. Una configuració de túnel complet amb un punt final que mor pot deixar la màquina inabastable, i la reparació aleshores requereix una consola que no vau preparar. Una consola fora de banda aprovada o una política de retorn de gestió deliberada és l'assegurança.

Trieu un sol propietari de la configuració per a l'operació rutinària. Un servei automàtic i un procés en primer pla que competeixen per les mateixes interfícies, rutes i estat del resolutor produeixen fallades que semblen un problema del proveïdor. Atureu una execució supervisada amb la seva interrupció normal, i una de gestionada a través del seu gestor en lloc de matar tots els processos anomenats openvpn.

La distinció que cal escriure és simple: una execució supervisada pot dependre de la vostra sessió, i un servei sense supervisió no.