Headless OpenVPN: overvåget session eller administreret tjeneste

At køre OpenVPN over SSH starter det på fjernmaskinen, i den maskines eksekveringskontekst. Det gør det til en ændring af fjernnetværket snarere end et fjernbetjent knaptryk. De to fornuftige tilstande er en overvåget forgrundssession og en ejet tjeneste, og de har forskellig forberedelse, forskellige legitimationsoplysninger og forskellig fejlopførsel.

To tilstande, én profil

Begge tilstande bruger den samme profil, og begge ændrer routing på værten. Det, der er forskelligt, er, hvem der er til stede ved starten, og hvad der sker efter sessionens slutning.

Forgrundstilstanden er til en overvåget forbindelse, hvor nogen er til stede. Tjenestetilstanden er til en forbindelse, der skal komme op uden nogen logget ind. At blande dem ved at lade en forgrundsproces køre og samtidig aktivere en tjeneste på samme profil er den mest almindelige selvforskyldte skade her.

Hvad forgrundssessionen egentlig er

En OpenVPN-forgrundsproces skal blive ved med at køre, mens tunnelen er oppe. Initialization Sequence Completed betyder, at initialiseringen er færdig, ikke at du skal vente på, at en prompt vender tilbage. En desktop-GUI skjuler det langvarige arbejde bag et vindue, og det er netop derfor, folk forventer, at SSH-kommandoen opfører sig på samme måde. Det gør den ikke.

Kontrollér applikationens adgang separat. En optaget terminal og én loglinje beviser hverken succes eller fiasko.

Hvad en ubemandet tjeneste har brug for

En tjeneste starter med sin egen konto, sit eget arbejdsbibliotek og sine egne filsystembegrænsninger, og alle disse adskiller sig fra din shell. Brug eksplicitte stier og passende ejerskab i stedet for at stole på, hvor du tilfældigvis stod. Giv enheden en genstartspolitik, du faktisk ønsker, fordi en forbindelsesløkke uden backoff fylder en log og irriterer modparten. Bekræft derefter, at den kommer op efter en genstart og ikke efter dit næste login.

Interaktiv MFA bryder det ubemandede tilfælde per design. Hvis profilen kræver en kode skrevet af en person, er det ikke en ubemandet tjeneste, og en gemt engangskode er ikke et legitimationsdesign. Beslut det bevidst i stedet for at opdage det ved boot.

Legitimationsoplysninger er fire forskellige input

OpenVPN har en manual, som adskiller konsolinput, legitimationsfiler, adgangssætninger til private nøgler og styringsstyret interaktion. Et brugernavn og en adgangskode er én ting, og en krypteret nøgles adgangssætning er en anden. En styringsgrænseflade, der leverer legitimationsoplysninger på anmodning, er en tredje. Vælg den mekanisme, der passer til dit autentificeringsdesign, i stedet for at sammenkæde alt i én fil, fordi det tilfældigvis virkede én gang.

Beskyt de profiler og logs, der bærer identitet eller private materialer. Tjenestekontoen læser dem, og det gør enhver med det rigtige gruppemedlemskab også.

Én ejer, og en vej tilbage

Bevar din SSH-administrationsvej, før du aktiverer en bred tunnelrute. En fuldtunnel-konfiguration med et endepunkt, der dør, kan efterlade maskinen utilgængelig, og reparationen kræver så en konsol, du ikke har arrangeret. En godkendt out-of-band-konsol eller en bevidst politik for styringsretur er forsikringen.

Vælg én konfigurationsejer til den daglige drift. En automatisk tjeneste og en forgrundsproces, der konkurrerer om de samme grænseflader, ruter og resolver-tilstand, giver fejl, der ligner et udbyderproblem. Stop en overvåget kørsel med dens normale afbrydelse, og en administreret via dens manager i stedet for at dræbe enhver proces ved navn openvpn.

Den forskel, der er værd at skrive ned, er enkel: en overvåget kørsel må afhænge af din session, og en ubemandet tjeneste må ikke.