Soced rheoli OpenVPN: sianel reoli, nid metrigau

Gofynnwch unwaith i’r rhyngwyneb rheoli am statws ac mae’n dechrau edrych fel porth statws. Nid yw. Unwaith y caiff cleient ei dderbyn, gall gyhoeddi gorchmynion rheoli’r protocol, ac mae’r cyfrif sy’n rhedeg y cleient hwnnw yn etifeddu popeth y gall y gorchmynion hynny ei wneud i’r daemon. Trin hyn fel ffrwd ddarllen yn unig yw’r camgymeriad sy’n troi integreiddiad monitro yn gonsol heb ddilysu.

Y gred, a’r gost

Y gred yw bod y gwrandawr rheoli’n cyfateb i bwynt terfyn metrigau: atodwch gasglwr, darllenwch y cyfrifwyr, symudwch ymlaen. Yr hyn sy’n digwydd mewn gwirionedd yw bod y casglwr yn agor sesiwn â galluoedd rheoli, ac mae pob rhagdybiaeth arall a wnaethoch am y defnydd bellach yn dibynnu ar y casglwr hwnnw’n ymddwyn yn dda.

Nid oes unrhyw beth yn y rhyngwyneb yn hysbysebu modd darllen yn unig. Nid oes rôl arsylwyr i’w dewis, ac nid yw enw defnyddiwr yn y ffurfweddiad yn creu un.

Beth mae cleient a dderbynnir yn ei ddal mewn gwirionedd

Mae daemon y gymuned yn derbyn un cleient rheoli gweithredol ar y tro. Mae’r un slot hwnnw’n golygu na all GUI, sgript ac asiant monitro atodi i gyd; mae’r ail yn aros neu’n methu tra bod y cyntaf yn dal y sesiwn. Os yw eich dyluniad yn tybio darllenwyr cyfamserol, mae eisoes yn anghywir.

Lle mae ciplun cyfnodol yn ddigon, mae allbwn y ffeil statws yn rhoi’r un rhifau i chi heb sesiwn fyw. Mae ysgrifennu’r ffeil honno ar egwyliau a’i darllen â chaniatâd ffeil cyffredin yn cadw’r casglwr y tu allan i’r plân rheoli’n gyfan gwbl, a dyma’r drefn y mae’r rhan fwyaf o fonitro ei hangen mewn gwirionedd.

Soced sy’n eiddo, nid un agored

Mae soced parth Unix yn cadw’r llwybr rheoli oddi ar y rhwydwaith, sy’n tynnu cyfeiriad newidiol y twnnel o’r broblem. Nid yw’n tynnu’r cwestiwn caniatâd. Rhaid i’r cyfeiriadur rhiant fod yn ysgrifennadwy gan gyfrif y gwasanaeth ac yn gyrraeddadwy gan gyfrif y rheolydd, ac mae’r rheini’n ddau grant ar wahân:

management /run/openvpn/office-management.sock unix /etc/openvpn/management.password
management-client-user vpn-observer
management-client-group vpn-observer

Mae’r ffeil gyfrinair yn cario cyfrinach rheoli ar ei llinell gyntaf. Diogelwch y ffeil honno fel unrhyw gymwyster arall, a chadwch ei chynnwys allan o logiau a thocynnau cymorth. Mae’r cyfyngiadau defnyddiwr a grŵp yn wiriadau cymar ar y soced Unix, nid caniatadau system ffeiliau, felly mae ar y broses a fwriedir angen y mynediad at y ffeil a’r hunaniaeth gyfatebol.

Gwneud y soced yn hygyrch i’r byd i gyd er mwyn clirio gwall caniatâd yw’r un atgyweiriad y dylech ei osgoi. Mae’n troi sianel reoli leol yn rhywbeth y gall unrhyw broses ar y gwesteiwr ei gyrru.

Nid yw ei gyhoeddi dros TCP yr un dyluniad

Nid yw symud y gwrandawr i borth TCP yn ei wneud yn fwy diogel nac yn fwy cyfleus. Anfonir cyfrinair rheoli’n glir, felly mae gwrandawr TCP yn datgelu’r cymhwyster a’r sesiwn i unrhyw un a all arsylwi’r llwybr. Mae cyrraedd o westeiwr arall yn gofyn am sianel weinyddu awdurdodedig, neu asiant lleol bach sy’n datgelu dim ond yr arsylwadau rydych eu hangen.

Mae cyfrinair ar gludiant testun clir yn ddilysu heb gyfrinachedd, ac mae’r cyfuniad hwnnw’n waeth nag y mae’n edrych oherwydd ei fod yn teimlo’n warchodedig.

Dibyniaethau cychwyn na ofynnoch amdanynt

Mae sawl opsiwn rheoli’n newid cylch bywyd y daemon. Mae dal y cychwyn nes bod rheolydd yn cysylltu, neu derfynu pan fydd y rheolydd yn diflannu, yn troi arsylwr dewisol yn ddibyniaeth galed. Byddai asiant monitro sy’n chwalu wedyn yn tynnu’r twnnel i lawr gydag ef.

Adolygwch yr opsiynau hynny cyn galluogi unrhyw beth y tu hwnt i’r soced ei hun. Dylai arsylwi dewisol aros yn ddewisol, ac ni ddylai polisi ailddechrau gael ei gyplu â chasglwr a ychwanegwyd ar gyfer graffiau.

Nid yw ffeil soced a adawyd ar ôl proses fethu yn brawf bod gwrandawr yn bodoli. Nodwch pa enghraifft sy’n berchen ar y llwybr cyn ei dynnu, a defnyddiwch lif gwaith adfer y gwasanaeth ei hun yn hytrach na dileu ffeiliau o dan daemon sy’n rhedeg.

Sut mae derbyn yn edrych

Mae pedwar gwiriad yn cwmpasu’r dyluniad: mae hunaniaeth y rheolydd a fwriadwyd yn cysylltu, mae proses heb yr hunaniaeth honno’n cael ei gwrthod, mae’r daemon yn goroesi rheolydd sy’n datgysylltu heb rybudd, ac mae’r twnnel yn dal i gludo traffig drwy ailddechrau rheoledig. Mae cysylltiad rheoli llwyddiannus yn profi’r plân rheoli’n unig. Nid yw’n dweud dim am weithrediad traffig cymwysiadau preifat, felly profwch hynny ar wahân. Ysgrifennwch y pedwar canlyniad lle gall y gweithredwr nesaf eu canfod.

Mae dogfennaeth y rhyngwyneb rheoli yn disgrifio’r model un-cleient a natur freintiedig y protocol, a dyna’r rhan sy’n werth ei darllen cyn i chi bwyntio dangosfwrdd ato.