OpenVPN bez rozhraní: dohlížená relace, nebo spravovaná služba
Spuštění OpenVPN přes SSH je změna ve vzdálené síti. Zvolte dohlíženou relaci, nebo vlastní službu, a připravte přihlašovací údaje i cestu zpět.
Spuštění OpenVPN přes SSH ho spustí na vzdáleném stroji, v kontextu provádění tohoto stroje. To z něj dělá změnu ve vzdálené síti, nikoli vzdálené stisknutí tlačítka. Dva rozumné režimy jsou dohlížená relace na popředí a vlastní služba; mají různou přípravu, různé přihlašovací údaje a různé chování při selhání.
Dva režimy, jeden profil
Oba režimy spotřebovávají stejný profil a oba mění směrování na hostiteli. Liší se to, kdo je při spuštění přítomen a co se stane po skončení relace.
| Mode | Useful for | What it needs |
|---|---|---|
| Supervised foreground session | A connection with a human watching and able to type | A usable terminal, a reviewed profile and recovery access |
| Managed service | An unattended lifecycle that starts without a login | Owned configuration, supported credential delivery and restart policy |
Režim na popředí je pro dohlížené připojení, u kterého je někdo přítomen. Režim služby je pro připojení, které má naběhnout bez přihlášeného uživatele. Míchat je tak, že necháte běžet proces na popředí a zároveň povolíte službu na stejném profilu, je zde nejčastější vlastnoručně způsobená porucha.
Co je dohlížená relace na popředí doopravdy
Proces OpenVPN na popředí má běžet dál, dokud je tunel aktivní. Initialization Sequence Completed znamená, že inicializace skončila, ne že máte čekat na návrat výzvy. Grafické rozhraní skrývá tuto dlouhou práci za oknem, a právě proto lidé očekávají, že se příkaz SSH bude chovat stejně. Nechová.
Zkontrolujte přístup aplikace zvlášť. Obsazený terminál a jeden řádek protokolu nedokazují ani úspěch, ani selhání.
Co potřebuje služba bez dohledu
Služba startuje s vlastním účtem, pracovním adresářem a omezeními souborového systému, a to vše se liší od vašeho shellu. Používejte explicitní cesty a odpovídající vlastnictví, místo abyste se spoléhali na to, kde jste náhodou stáli. Dejte jednotce politiku restartu, kterou opravdu chcete, protože smyčka připojování bez odstupu plní protokol a dráždí protějšek. Potom ověřte, že naběhne po restartu, a ne až po vašem dalším přihlášení.
Interaktivní MFA rozbíjí případ bez dohledu už z principu. Pokud profil vyžaduje kód zadaný člověkem, není to služba bez dohledu, a uložený jednorázový kód není návrh přihlašovacích údajů. Rozhodněte to vědomě, místo abyste to zjistili při startu.
Přihlašovací údaje jsou čtyři různé vstupy
OpenVPN má příručku, která odděluje vstup z konzole, soubory přihlašovacích údajů, hesla k privátnímu klíči a interakci řízenou správou. Dvojice uživatelského jména a hesla je jedna věc a heslo k šifrovanému klíči druhá. Rozhraní správy, které dodává přihlašovací údaje na požádání, je třetí. Zvolte mechanismus, který odpovídá vašemu návrhu autentizace, místo abyste vše spojili do jednoho souboru, protože to jednou fungovalo.
Chraňte profily a protokoly, které nesou identitu nebo soukromý materiál. Čte je servisní účet a také kdokoli se správným členstvím ve skupině.
Jeden vlastník a cesta zpět
Zachovejte si svou SSH administrativní cestu, než povolíte širokou trasu tunelu. Konfigurace plného tunelu s koncovým bodem, který umře, může nechat stroj nedostupný a oprava pak vyžaduje konzoli, kterou jste nezajistili. Schválená konzole mimo pásmo nebo vědomá politika návratu správy je pojistka.
Zvolte jednoho vlastníka konfigurace pro rutinní provoz. Automatická služba a proces na popředí, které soupeří o stejná rozhraní, trasy a stav resolveru, produkují poruchy, které vypadají jako problém poskytovatele. Zastavte dohlížený běh jeho obvyklým přerušením a spravovaný přes jeho správce, místo abyste zabíjeli každý proces jménem openvpn.
Rozdíl, který je třeba zapsat, je jednoduchý: dohlížený běh může záviset na vaší relaci, kdežto služba bez dohledu nesmí.