Quins rols de programari necessita una passarel·la OpenVPN sense pantalla

Una màquina dedicada a una passarel·la OpenVPN necessita una instal·lació de servidor suportada i el programari per a les tasques que realment fa. Un menú d’instal·lació que ofereix SSH, allotjament web i altres rols de servidor no és una llista de requisits previs d’OpenVPN. Un desplegament sense pantalla és del tot raonable. L’important és separar tres tasques: portar el túnel, administrar l’amfitrió i emetre credencials.

Aquest és l’ordre d’inventari que faig servir, amb la comprovació que tanca cada pas.

1. Doneu al servei de túnel el seu propi paquet i perfil

La guia del servidor OpenVPN d’Ubuntu fa servir el paquet openvpn de la distribució amb una línia d’ordres i una configuració de servei. El mateix paquet serveix com a client de Linux, i la configuració tria el rol.

Això vol dir que instal·lar un GUI de client no és el que converteix l’amfitrió en servidor, i treure’l no és el que el fa sense pantalla. Anoteu quin perfil llegeix la instància en execució, perquè un segon fitxer de configuració al mateix directori es pot carregar sense que ningú ho noti, i el dimoni informa d’èxit en tots dos casos. Quan hi ha dos perfils, el gestor de serveis decideix quin guanya, i aquesta decisió pertany a les vostres notes i no a una suposició.

2. Decidiu el camí d’administració abans que el túnel

OpenSSH ve d’un paquet openssh-server separat i s’executa com a servei propi. És útil quan un administrador ha d’arribar a la màquina per SSH, però OpenVPN no necessita un servidor SSH per intercanviar paquets VPN. Una consola local o un canal de gestió de plataforma aprovat és un altre camí vàlid. Decidiu en quin confieu abans de canviar l’encaminament o el filtratge, perquè un túnel nou no hauria de ser mai l’única manera no provada de reparar-se.

3. Emeteu credencials des del propietari aprovat

L’exemple d’Ubuntu instal·la easy-rsa al costat d’OpenVPN per construir una PKI petita, que és un rol d’emissió de credencials i no un servei de túnel en funcionament. Si l’organització ja té un procés d’emissió aprovat, feu-lo servir en lloc de crear una CA no relacionada perquè un tutorial n’inclogui una. Manteniu la clau privada i el certificat de la passarel·la separats de la clau de signatura de la CA, i trieu deliberadament la ubicació de signatura i de còpia de seguretat. Copiar tots els fitxers de PKI a cada amfitrió no és un requisit de programari.

4. Deixeu els connectors d’escriptori als escriptoris

Un editor de NetworkManager o un connector d’importació té un propòsit en una màquina que fa servir aquest flux de treball. No és una funció de servidor addicional necessària perquè la passarel·la parla OpenVPN.

Trieu un sol propietari per a la connexió, i no engegueu una segona còpia del mateix perfil gestionada des de l’escriptori.

5. Accepteu la passarel·la amb un client real

Menys paquets no és una passarel·la acabada. El servidor encara necessita un oient aprovat, identitats, rutes, reenviament on calgui, una política de tallafocs estreta i el camí de retorn previst. Anoteu on apareixen els seus registres i com s’apliquen les actualitzacions, perquè aquestes dues respostes decideixen com es diagnosticarà una fallada més endavant.

Un disseny de sortida a internet i un disseny d’accés a una xarxa privada tenen requisits de reenviament diferents, així que decidiu quin esteu construint abans d’obrir res. Aixequen un client aprovat i comproveu el recurs previst en lloc de l’indicador del túnel. Després reinicieu el servei d’una manera controlada i confirmeu el camí d’arrencada desatès, perquè una passarel·la que només s’aixeca mentre algú mira encara no està desplegada.