OpenVPN χωρίς διεπαφή: εποπτευόμενη συνεδρία ή διαχειριζόμενη υπηρεσία
Η εκκίνηση του OpenVPN μέσω SSH είναι αλλαγή στο απομακρυσμένο δίκτυο. Επιλέξτε εποπτευόμενη συνεδρία ή δική σας υπηρεσία και προετοιμάστε διαπιστευτήρια και δρόμο επιστροφής.
Η εκκίνηση του OpenVPN μέσω SSH το ξεκινά στο απομακρυσμένο μηχάνημα, στο περιβάλλον εκτέλεσης αυτού του μηχανήματος. Αυτό το καθιστά αλλαγή στο απομακρυσμένο δίκτυο και όχι απλό πάτημα κουμπιού από απόσταση. Οι δύο λογικές λειτουργίες είναι μια εποπτευόμενη συνεδρία στο προσκήνιο και μια δική σας υπηρεσία, και έχουν διαφορετική προετοιμασία, διαφορετικά διαπιστευτήρια και διαφορετική συμπεριφορά αστοχίας.
Δύο λειτουργίες, ένα προφίλ
Και οι δύο λειτουργίες καταναλώνουν το ίδιο προφίλ και οι δύο αλλάζουν τη δρομολόγηση στον κεντρικό υπολογιστή. Αυτό που διαφέρει είναι ποιος είναι παρών κατά την εκκίνηση και τι συμβαίνει μετά το τέλος της συνεδρίας.
| Mode | Useful for | What it needs |
|---|---|---|
| Supervised foreground session | A connection with a human watching and able to type | A usable terminal, a reviewed profile and recovery access |
| Managed service | An unattended lifecycle that starts without a login | Owned configuration, supported credential delivery and restart policy |
Η λειτουργία προσκηνίου είναι για εποπτευόμενη σύνδεση όπου κάποιος είναι παρών. Η λειτουργία υπηρεσίας είναι για σύνδεση που πρέπει να σηκωθεί χωρίς κανέναν συνδεδεμένο. Το να τις ανακατεύετε, αφήνοντας μια διεργασία προσκηνίου να τρέχει και ενεργοποιώντας ταυτόχρονα μια υπηρεσία στο ίδιο προφίλ, είναι η πιο συχνή αυτοπροκαλούμενη βλάβη εδώ.
Τι είναι πραγματικά η συνεδρία προσκηνίου
Μια διεργασία OpenVPN στο προσκήνιο υποτίθεται ότι συνεχίζει να τρέχει όσο η σήραγγα είναι ενεργή. Initialization Sequence Completed σημαίνει ότι η αρχικοποίηση ολοκληρώθηκε, όχι ότι πρέπει να περιμένετε να επιστρέψει μια προτροπή. Ένα γραφικό περιβάλλον κρύβει αυτή τη μακρά εργασία πίσω από ένα παράθυρο, και γι’ αυτό ακριβώς οι άνθρωποι περιμένουν η εντολή SSH να συμπεριφέρεται με τον ίδιο τρόπο. Δεν το κάνει.
Ελέγξτε την πρόσβαση της εφαρμογής χωριστά. Ένα κατειλημμένο τερματικό και μία γραμμή αρχείου καταγραφής δεν αποδεικνύουν ούτε επιτυχία ούτε αποτυχία.
Τι χρειάζεται μια υπηρεσία χωρίς επίβλεψη
Μια υπηρεσία ξεκινά με δικό της λογαριασμό, δικό της κατάλογο εργασίας και δικούς της περιορισμούς συστήματος αρχείων, και όλα αυτά διαφέρουν από το κέλυφός σας. Χρησιμοποιήστε ρητές διαδρομές και κατάλληλη κυριότητα αντί να βασίζεστε στο πού τυχαία στεκόσασταν. Δώστε στη μονάδα μια πολιτική επανεκκίνησης που πραγματικά θέλετε, γιατί ένας βρόχος σύνδεσης χωρίς υποχώρηση γεμίζει ένα αρχείο καταγραφής και εκνευρίζει τον ομότιμο. Έπειτα επαληθεύστε ότι σηκώνεται μετά από επανεκκίνηση και όχι μετά την επόμενη σύνδεσή σας.
Το διαδραστικό MFA σπάει την περίπτωση χωρίς επίβλεψη εκ σχεδιασμού. Αν το προφίλ απαιτεί κωδικό που πληκτρολογεί άνθρωπος, δεν είναι υπηρεσία χωρίς επίβλεψη, και ένας αποθηκευμένος κωδικός μίας χρήσης δεν είναι σχεδιασμός διαπιστευτηρίων. Αποφασίστε το συνειδητά αντί να το ανακαλύψετε στην εκκίνηση.
Τα διαπιστευτήρια είναι τέσσερις διαφορετικές είσοδοι
Το εγχειρίδιο του OpenVPN διαχωρίζει την είσοδο κονσόλας, τα αρχεία διαπιστευτηρίων, τις φράσεις πρόσβασης ιδιωτικού κλειδιού και την αλληλεπίδραση που καθοδηγείται από τη διαχείριση. Ένα ζεύγος ονόματος χρήστη και κωδικού είναι ένα πράγμα, και η φράση πρόσβασης ενός κρυπτογραφημένου κλειδιού είναι άλλο. Μια διεπαφή διαχείρισης που παρέχει διαπιστευτήρια κατόπιν αιτήματος είναι τρίτη. Επιλέξτε τον μηχανισμό που ταιριάζει στον σχεδιασμό πιστοποίησής σας αντί να τα συνενώσετε όλα σε ένα αρχείο επειδή αυτό λειτούργησε κάποτε.
Προστατέψτε τα προφίλ και τα αρχεία καταγραφής που φέρουν ταυτότητα ή ιδιωτικό υλικό. Ο λογαριασμός υπηρεσίας τα διαβάζει, όπως και οποιοσδήποτε με τη σωστή ιδιότητα μέλους ομάδας.
Ένας ιδιοκτήτης, και ένας δρόμος επιστροφής
Διατηρήστε τη διαδρομή διαχείρισης SSH πριν ενεργοποιήσετε μια ευρεία διαδρομή σήραγγας. Μια διαμόρφωση πλήρους σήραγγας με τελικό σημείο που πεθαίνει μπορεί να αφήσει το μηχάνημα απρόσιτο, και η επισκευή τότε απαιτεί κονσόλα που δεν φροντίσατε. Μια εγκεκριμένη κονσόλα εκτός ζώνης ή μια συνειδητή πολιτική επιστροφής διαχείρισης είναι το ασφαλιστήριο.
Επιλέξτε έναν ιδιοκτήτη διαμόρφωσης για την καθημερινή λειτουργία. Μια αυτόματη υπηρεσία και μια διεργασία προσκηνίου που ανταγωνίζονται για τις ίδιες διεπαφές, διαδρομές και κατάσταση resolver παράγουν αστοχίες που μοιάζουν με πρόβλημα παρόχου. Σταματήστε μια εποπτευόμενη εκτέλεση με το κανονικό της interrupt, και μια διαχειριζόμενη μέσω του διαχειριστή της αντί να σκοτώνετε κάθε διεργασία με όνομα openvpn.
Η διάκριση που αξίζει να γράψετε είναι απλή: μια εποπτευόμενη εκτέλεση μπορεί να εξαρτάται από τη συνεδρία σας, και μια υπηρεσία χωρίς επίβλεψη δεν επιτρέπεται.