Pa rolau meddalwedd y mae porth OpenVPN heb sgrin yn eu hangen

Mae peiriant sydd wedi’i neilltuo i borth OpenVPN angen gosodiad gweinydd â chymorth a’r meddalwedd ar gyfer y gwaith y mae’n ei wneud mewn gwirionedd. Nid yw dewislen osod sy’n cynnig SSH, lletya gwe a rolau gweinydd eraill yn rhestr o ragofynion OpenVPN. Mae defnydd heb sgrin yn gwbl resymol. Y peth pwysig yw gwahanu tri gwaith: cludo’r twnnel, gweinyddu’r gwesteiwr, a chyhoeddi manylion mewngofnodi.

Dyma’r drefn gyfrifo rydw i’n ei defnyddio, gyda’r gwiriad sy’n cloi pob cam.

1. Rhowch ei becyn a’i broffil ei hun i’r gwasanaeth twnnel

Mae canllaw gweinydd OpenVPN Ubuntu yn defnyddio pecyn openvpn y dosbarthiad gyda llinell orchymyn a chyfluniad gwasanaeth. Mae’r un pecyn yn gwasanaethu fel cleient Linux, a’r cyfluniad sy’n dewis y rôl.

Mae hynny’n golygu mai gosod GUI cleient nid yw’n troi’r gwesteiwr yn weinydd, ac nid yw ei dynnu’n ôl yn gwneud iddo fod heb sgrin. Cofnodwch pa broffil y mae’r achos sy’n rhedeg yn ei ddarllen, oherwydd gall ail ffeil gyfluniad yn yr un cyfeiriad lwytho heb i neb sylwi, ac mae’r daemon yn adrodd llwyddiant beth bynnag. Pan fo dau broffil, y rheolwr gwasanaeth sy’n penderfynu pwy sy’n ennill, ac mae’r penderfyniad hwnnw’n perthyn i’ch nodiadau yn hytrach nag i ddyfaliad.

2. Penderfynwch ar y llwybr gweinyddu cyn y twnnel

Daw OpenSSH o becyn openssh-server ar wahân ac mae’n rhedeg fel ei wasanaeth ei hun. Mae’n ddefnyddiol pan ddylai gweinyddwr gyrraedd y peiriant dros SSH, ond OpenVPN nid oes angen gweinydd SSH arno i gyfnewid pecynnau VPN. Mae consol lleol neu sianel rheoli platfform a gymeradwywyd yn llwybr dilys arall. Penderfynwch pa un rydych chi’n dibynnu arno cyn i chi newid llwybro neu hidlo, oherwydd na ddylai twnnel newydd fod yr unig ffordd heb ei phrofi i’w drwsio ei hun.

3. Cyhoeddwch fanylion mewngofnodi gan y perchennog a gymeradwywyd

Mae enghraifft Ubuntu yn gosod easy-rsa ochr yn ochr ag OpenVPN i adeiladu PKI fach, sy’n rôl cyhoeddi manylion mewngofnodi yn hytrach na gwasanaeth twnnel sy’n rhedeg. Os oes gan y sefydliad broses gyhoeddi a gymeradwywyd yn barod, defnyddiwch hi yn lle creu CA heb berthynas oherwydd bod tiwtorial yn cynnwys un. Cadwch allwedd breifat a thystysgrif y porth ar wahân i allwedd lofnodi’r CA, a dewiswch leoliad y llofnodi a’r copi wrth gefn yn fwriadol. Nid yw copïo pob ffeil PKI i bob gwesteiwr yn ofyniad meddalwedd.

4. Gadewch ategion pen-desg i ben-desgiau

Mae gan olygydd NetworkManager neu ategyn mewngludo bwrpas ar beiriant sy’n defnyddio’r llif gwaith hwnnw. Nid yw’n nodwedd gweinydd ychwanegol sydd ei hangen oherwydd bod y porth yn siarad OpenVPN.

Dewiswch un perchennog ar gyfer y cysylltiad, ac na chychwynnwch ail gopi o’r un proffil wedi’i reoli o’r pen-desg.

5. Derbyniwch y porth gyda chleient go iawn

Nid yw llai o becynnau yn borth gorffenedig. Mae ar y gweinydd o hyd angen gwrandäwr a gymeradwywyd, hunaniaethau, llwybrau, anfon ymlaen lle bo angen, polisi wal dân cul a’r llwybr dychwelyd a fwriadwyd. Ysgrifennwch ble mae ei logiau’n ymddangos a sut mae diweddariadau’n cael eu cymhwyso, oherwydd y ddau ateb hynny sy’n penderfynu sut y caiff methiant ei ddiagnosio’n ddiweddarach.

Mae gan ddyluniad allanfa i’r rhyngrwyd a dyluniad mynediad i rwydwaith preifat ofynion anfon ymlaen gwahanol, felly penderfynwch pa un rydych chi’n ei adeiladu cyn agor unrhyw beth. Codwch un cleient a gymeradwywyd a gwiriwch yr adnodd a fwriadwyd yn hytrach na dangosydd y twnnel. Yna ailgychwynnwch y gwasanaeth mewn ffordd reoledig a chadarnhewch y llwybr cychwyn heb oruchwyliaeth, oherwydd nid yw porth sy’n codi dim ond tra bo rhywun yn gwylio wedi’i osod eto.