Bachyn cleient neu fachyn gweinydd? Ble mae sgript OpenVPN yn rhedeg

Mae’r dasg yn glir: pan fydd liniadur yn cysylltu, dylai rhywbeth ar y liniadur newid. Mae’r ffurfweddiad sy’n cael ei olygu yn perthyn i’r gweinydd, a dyna lle mae’r rhagdybiaeth yn torri. Mae llwybr mewn ffeil gweinydd yn enwi ffeil ar y gweinydd hwnnw, ac nid yw unrhyw faint o push yn newid pwy yw’r broses sy’n ei gweithredu. Mae dewis rhwng y ddau fachyn yn bennaf yn fater o benderfynu pa beiriant sy’n berchen ar y gwaith a derbyn y terfynau sy’n dilyn.

Dau beiriant, dau gwestiwn i’w hateb yn gyntaf

Gofynnwch ble mae’r newid cyflwr yn gorfod digwydd, yna gofynnwch pa ddigwyddiad sy’n cyfateb iddo. Os yw’r newid yn awdurdodiad fesul defnyddiwr neu’n benderfyniad ffurfweddu fesul cleient, mae’n perthyn lle mae’r cyfeiriadur defnyddwyr yn hysbys: y gweinydd. Os yw’r newid yn llwybr, yn osodiad datryswr neu’n gymhorthydd lleol ar bennod, mae’n perthyn i’r bennod, a dim ond y bennod all ei wneud.

Ateb y ddau gwestiwn hynny yn y drefn arall yw sut mae pobl yn gorffen ceisio gwthio ffeil swp i liniadur Windows. Mae’r gweinydd yn gwybod pwy gysylltodd; mae’r liniadur yn gwybod sut mae ei stac rhwydwaith ei hun yn edrych. Nid oes gan y naill wybodaeth y llall, ac mae’r ymgais fel arfer yn methu’n dawel yn hytrach nag â gwall clir.

Mae’n werth gofyn trydydd cwestiwn cyn y ddau: a yw’r platfform hyd yn oed yn cynnig y bachyn rydych chi’n ei eisiau? Efallai na fydd offeryn sy’n cynhyrchu ei ffurfweddiad ei hun yn cynnig yr un enwau digwyddiadau, ac nid yw cleient bwrdd gwaith sy’n mewnforio ffeil .ovpn o reidrwydd yr un cleient ag y cafodd y ffeil ei hysgrifennu ar ei gyfer. Mae cadarnhau’r platfform yn gyntaf yn eich arbed rhag dylunio o amgylch bachyn nad yw’n bodoli yno. Mae hefyd yn dweud wrthych pa ddogfennaeth sy’n berthnasol i’r peiriant o’ch blaen.

Yr opsiwn ar ochr y gweinydd: digwyddiad fesul cysylltiad

Mae sgript client-connect yn rhedeg yng nghyd-destun proses y gweinydd pan fydd cleient dilys yn cysylltu, ac mae’n derbyn manylion cysylltiad wedi’u dogfennu fel yr enw cyffredin a’r cyfeiriad a bennwyd. Dyma’r man cywir i ysgrifennu darn ffurfweddiad fesul cleient, gorfodi penderfyniad polisi neu gofnodi cyflwr y mae’r gweinydd yn berchen arno.

Y gwahaniaeth mae pobl yn ei golli yw’r gwahaniaeth rhwng y bachyn hwnnw a bachyn up y gweinydd. Mae bachyn up yn tanio pan fydd y gweinydd yn agor ei ddyfais twnnel, sy’n digwydd unwaith wrth gychwyn y daemon ar weinydd aml-gleient. Nid yw’n ddigwyddiad fesul mewngofnodi, ac mae cod a osodir yno yn rhedeg pan fydd y gwasanaeth yn cychwyn yn hytrach nag pan fydd defnyddwyr yn cysylltu.

Ar offeryn â rhyngwyneb gwe, defnyddiwch y mecanwaith estyniad a gefnogir yn hytrach na golygu ffeiliau daemon a gynhyrchwyd. Mae ffeiliau a gynhyrchwyd yn cael eu hailsgrifennu ar y cadw nesaf, ac mae’r ailsgrif yn dileu eich newid yn dawel ar yr eiliad waethaf posibl. Cadwch gopi o destun yr estyniad y tu allan i’r offeryn fel na all diweddariad cadarnwedd golli’r bwriad hefyd.

Yr opsiwn ar ochr y cleient: gwaith sy’n gorfod rhedeg yn lleol

Gall cleient cymunedol redeg sgript leol pan ddaw’r ddyfais twnnel i fyny ac eto pan fydd llwybrau’n cael eu gosod. Dau foment wahanol yw’r rhain, ac mae dewis yr un anghywir yn cynhyrchu’r ras glasurol lle mae cymhorthydd yn cychwyn cyn bod y llwybr y mae’n dibynnu arno yn bodoli.

Rhaid i’r cymhorthydd fodoli ar y cleient hwnnw, bod yn ddarllenadwy ac yn gyflawnadwy gan y cyfrif sy’n rhedeg y cleient, a chael ei ganiatáu gan osodiad script-security penodol. Nid yw sgript sy’n gweithio pan fyddwch chi’n lansio’r cleient fel gweinyddwr yn dweud unrhyw beth wrthych am wasanaeth cyn mewngofnodi nac am sesiwn defnyddiwr arall.

Mae enwi yn bwysig hefyd. Mae bachyn up yn cyfateb i greu dyfais a route-up i osod llwybrau, ond dylai tasg sy’n gofyn i rwydwaith preifat fod yn gyrraeddadwy wirio cyrhaeddedd yn hytrach na thybio bod creu dyfais yn golygu bod pob llwybr, cofnod datryswr a rhaglen yn barod.

Pam nad yw gwthio cod gweithredu ar y fwydlen

Mae opsiynau a wthir trwy push wedi’u cyfyngu’n fwriadol, ac mae opsiynau sy’n gweithredu sgriptiau ymhlith y categorïau na chaniateir i’r gweinydd eu trosglwyddo. Mae’r cyfyngiad hwnnw’n bodoli oherwydd y byddai’r dewis arall yn gadael i weinydd wedi’i gyfaddawdu neu wedi’i ffurfweddu’n wael redeg gorchmynion mympwyol ar bob cleient sy’n cysylltu byth.

Nid yw galluogi gweithredu sgript yn lleol yn newid hynny. Mae eich gosodiad script-security yn caniatáu sgriptiau lleol a ddewisoch chi; nid yw’n awdurdodi’r gweinydd i gyflenwi rhai newydd.

Os mai’r nod yw gosod llwybrau VPN yn unig, defnyddiwch y ffurfweddiad llwybrau a gefnogir yn hytrach na dyfeisio cynllun gweithredu o bell. Os yw’r nod wir yn gofyn am god lleol, dosbarthwch ef trwy offer rheoli pen sefydliad y sefydliad a’i adolygu fel unrhyw feddalwedd arall sy’n rhedeg gyda phraffiliau’r defnyddiwr.

Beth i’w wirio cyn ymddiried yn y naill fachyn na’r llall

Ysgrifennwch bedair peth ar gyfer pob bachyn: y peiriant, enw’r digwyddiad, y cyfrif y mae’n rhedeg dano, a’r newid cyflwr y dylai ei gynhyrchu. Yna profwch y cysylltiad, ailgysylltiad, a’r llwybr glanhau, oherwydd mae bachyn sy’n gollwng cyflwr ar ailgysylltiad yn waeth nag un na redodd erioed.

Profwch dan y cyfrif a fydd yn ei weithredu mewn gwirionedd, ar yr eiliad y bydd yn gweithredu mewn gwirionedd. Mae llawlyfr openvpn(8) yn dogfennu’r ddau deulu bachyn a’r cyfyngiadau push; mae’r platfform rydych chi’n ei ddefnyddio yn dogfennu a yw’n eu hamlygu o gwbl. Mae sgript sy’n llwyddo mewn terfynell gweinyddwr ryngweithiol yn rhagdybiaeth, nid yn wirio.