Welche Software-Rollen ein kopfloses OpenVPN-Gateway braucht

Eine Maschine, die einem OpenVPN-Gateway gewidmet ist, braucht eine unterstützte Serverinstallation und die Software für die Aufgaben, die sie tatsächlich erledigt. Ein Installationsmenü, das SSH, Webhosting und andere Serverrollen anbietet, ist keine Liste von OpenVPN-Voraussetzungen. Ein Betrieb ohne Bildschirm ist völlig vernünftig. Worauf es ankommt, ist die Trennung dreier Aufgaben: den Tunnel tragen, den Host verwalten und Anmeldedaten ausstellen.

Hier ist die Inventar-Reihenfolge, die ich verwende, mit der Prüfung, die jeden Schritt abschließt.

1. Geben Sie dem Tunnel-Dienst ein eigenes Paket und Profil

Ubuntus OpenVPN-Serveranleitung verwendet das openvpn-Paket der Distribution mit einer Kommandozeile und einer Dienstkonfiguration. Dasselbe Paket dient als Linux-Client, und die Konfiguration wählt die Rolle.

Das heißt, die Installation einer Client-GUI macht den Host nicht zum Server, und ihr Entfernen macht ihn nicht kopflos. Notieren Sie, welches Profil die laufende Instanz liest, denn eine zweite Konfigurationsdatei im selben Verzeichnis kann unbemerkt geladen werden, und der Daemon meldet in beiden Fällen Erfolg. Existieren zwei Profile, entscheidet der Dienstmanager, welches gewinnt, und diese Entscheidung gehört in Ihre Notizen und nicht in eine Vermutung.

2. Legen Sie den Verwaltungsweg vor dem Tunnel fest

OpenSSH stammt aus einem separaten openssh-server-Paket und läuft als eigener Dienst. Es ist nützlich, wenn ein Administrator die Maschine über SSH erreichen soll, aber OpenVPN braucht keinen SSH-Server, um VPN-Pakete auszutauschen. Eine lokale Konsole oder ein freigegebener Plattform-Verwaltungskanal ist ein anderer gültiger Weg. Entscheiden Sie, auf welchen Sie sich verlassen, bevor Sie Routing oder Filterung ändern, denn ein neuer Tunnel sollte niemals der einzige ungetestete Weg sein, sich selbst zu reparieren.

3. Stellen Sie Anmeldedaten beim freigegebenen Eigentümer aus

Das Ubuntu-Beispiel installiert easy-rsa neben OpenVPN, um eine kleine PKI aufzubauen, was eine Rolle zur Ausstellung von Anmeldedaten und kein laufender Tunnel-Dienst ist. Hat die Organisation bereits einen freigegebenen Ausstellungsprozess, nutzen Sie ihn, statt eine unabhängige CA anzulegen, nur weil eine Anleitung eine enthält. Halten Sie den eigenen privaten Schlüssel und das Zertifikat des Gateways getrennt vom CA-Signaturschlüssel und wählen Sie den Signatur- und Sicherungsort bewusst. Jede PKI-Datei auf jeden Host zu kopieren ist keine Softwareanforderung.

4. Überlassen Sie Desktop-Plugins den Desktops

Ein NetworkManager-Editor oder ein Import-Plugin hat auf einer Maschine einen Zweck, die diesen Arbeitsablauf nutzt. Es ist keine zusätzliche Serverfunktion, die nötig ist, weil das Gateway OpenVPN spricht.

Wählen Sie einen Eigentümer für die Verbindung, und starten Sie keine zweite, vom Desktop verwaltete Kopie desselben Profils.

5. Nehmen Sie das Gateway mit einem echten Client ab

Weniger Pakete sind kein fertiges Gateway. Der Server braucht weiterhin einen freigegebenen Listener, Identitäten, Routen, Weiterleitung wo nötig, eine enge Firewall-Richtlinie und den vorgesehenen Rückweg. Notieren Sie, wo seine Protokolle erscheinen und wie Aktualisierungen eingespielt werden, denn diese beiden Antworten entscheiden, wie ein Fehler später diagnostiziert wird.

Ein Entwurf mit Internet-Ausgang und ein Entwurf mit Zugang zu einem privaten Netz haben unterschiedliche Anforderungen an die Weiterleitung, entscheiden Sie also vor dem Öffnen, welchen Sie bauen. Starten Sie einen freigegebenen Client und prüfen Sie die vorgesehene Ressource statt der Tunnel-Anzeige. Starten Sie dann den Dienst kontrolliert neu und bestätigen Sie den unbeaufsichtigten Startweg, denn ein Gateway, das nur hochkommt, während jemand zusieht, ist noch nicht ausgerollt.