Jaké softwarové role potřebuje bezobslužná brána OpenVPN
Malá brána OpenVPN potřebuje promyšlenou tunelovou službu a cestu pro správu, ne každou volitelnou roli serveru. Oddělte tunel od SSH a PKI.
Stroj vyhrazený bráně OpenVPN potřebuje podporovanou instalaci serveru a software pro úlohy, které skutečně vykonává. Nabídka instalátoru se SSH, webhostingem a dalšími rolemi serveru není seznamem předpokladů pro OpenVPN. Nasazení bez obrazovky je zcela rozumné. Důležité je oddělit tři úlohy: přenos tunelu, správu hostitele a vydávání přihlašovacích údajů.
Toto je pořadí inventury, které používám, s kontrolou, jež uzavírá každý krok.
1. Dejte tunelové službě vlastní balíček a profil
Průvodce serverem OpenVPN pro Ubuntu používá balíček openvpn distribuce s příkazovým řádkem a konfigurací služby. Stejný balíček slouží jako linuxový klient a roli vybírá konfigurace.
To znamená, že instalace klientského GUI není to, co ze stroje dělá server, a jeho odebrání není to, co ho dělá bezobslužným. Poznamenejte si, který profil běžící instance čte, protože druhý konfigurační soubor ve stejném adresáři se může načíst, aniž by si toho někdo všiml, a démon hlásí úspěch v obou případech. Když existují dva profily, rozhoduje správce služeb, který vyhraje, a to rozhodnutí patří do vašich poznámek, ne do odhadu.
2. Rozhodněte o cestě správy dřív než o tunelu
OpenSSH pochází ze samostatného balíčku openssh-server a běží jako vlastní služba. Je užitečný, když má správce přistupovat ke stroji přes SSH, ale OpenVPN nepotřebuje SSH server k výměně VPN paketů. Místní konzole nebo schválený kanál správy platformy je další platná cesta. Rozhodněte, na kterou se spoléháte, dřív než změníte směrování nebo filtrování, protože nový tunel by nikdy neměl být jediným neotestovaným způsobem, jak se opravit.
3. Vydávejte přihlašovací údaje od schváleného vlastníka
Příklad z Ubuntu instaluje easy-rsa vedle OpenVPN, aby postavil malou PKI, což je role vydávání přihlašovacích údajů, ne běžící tunelová služba. Pokud má organizace už schválený proces vydávání, použijte ho místo vytváření nesouvisející CA jen proto, že ji návod obsahuje. Udržujte vlastní privátní klíč a certifikát brány oddělené od podpisového klíče CA a místo pro podpis a zálohu vybírejte vědomě. Kopírování každého souboru PKI na každý hostitel není softwarový požadavek.
4. Nechte desktopové pluginy desktopům
Editor NetworkManageru nebo plugin pro import má smysl na stroji, který tento postup používá. Není to další funkce serveru potřebná proto, že brána mluví OpenVPN.
Vyberte jednoho vlastníka připojení a nespouštějte druhou kopii stejného profilu spravovanou z desktopu.
5. Přijměte bránu skutečným klientem
Méně balíčků není hotová brána. Server stále potřebuje schválený naslouchací proces, identity, trasy, přeposílání tam, kde je potřeba, úzkou politiku firewallu a zamýšlenou zpáteční cestu. Zapište, kde se objevují jeho logy a jak se aplikují aktualizace, protože tyto dvě odpovědi rozhodují o tom, jak se porucha později diagnostikuje.
Návrh s výstupem do internetu a návrh s přístupem do privátní sítě mají různé požadavky na přeposílání, takže se rozhodněte, který stavíte, dřív než něco otevřete. Spusťte jednoho schváleného klienta a zkontrolujte zamýšlený prostředek, ne indikátor tunelu. Poté restartujte službu řízeným způsobem a potvrďte cestu automatického startu, protože brána, která naskočí jen tehdy, když se někdo dívá, ještě není nasazená.