Ποιοι ρόλοι λογισμικού χρειάζονται μια πύλη OpenVPN χωρίς οθόνη

Ένα μηχάνημα αφιερωμένο σε πύλη OpenVPN χρειάζεται μια υποστηριζόμενη εγκατάσταση διακομιστή και το λογισμικό για τις εργασίες που εκτελεί πραγματικά. Ένα μενού εγκατάστασης που προσφέρει SSH, φιλοξενία ιστού και άλλους ρόλους διακομιστή δεν είναι κατάλογος προαπαιτούμενων του OpenVPN. Μια ανάπτυξη χωρίς οθόνη είναι απολύτως λογική. Το σημαντικό είναι ο διαχωρισμός τριών εργασιών: η μεταφορά της σήραγγας, η διαχείριση του κεντρικού υπολογιστή και η έκδοση διαπιστευτηρίων.

Αυτή είναι η σειρά απογραφής που χρησιμοποιώ, με τον έλεγχο που κλείνει κάθε βήμα.

1. Δώστε στην υπηρεσία σήραγγας το δικό της πακέτο και προφίλ

Ο οδηγός διακομιστή OpenVPN του Ubuntu χρησιμοποιεί το πακέτο openvpn της διανομής με γραμμή εντολών και διαμόρφωση υπηρεσίας. Το ίδιο πακέτο λειτουργεί και ως πελάτης Linux, και η διαμόρφωση επιλέγει τον ρόλο.

Αυτό σημαίνει ότι η εγκατάσταση ενός GUI πελάτη δεν είναι αυτό που μετατρέπει το μηχάνημα σε διακομιστή, και η αφαίρεσή του δεν είναι αυτό που το κάνει χωρίς οθόνη. Καταγράψτε ποιο προφίλ διαβάζει η εκτελούμενη παρουσία, γιατί ένα δεύτερο αρχείο διαμόρφωσης στον ίδιο κατάλογο μπορεί να φορτωθεί χωρίς να το αντιληφθεί κανείς, και ο δαίμονας αναφέρει επιτυχία και στις δύο περιπτώσεις. Όταν υπάρχουν δύο προφίλ, ο διαχειριστής υπηρεσιών αποφασίζει ποιο κερδίζει, και αυτή η απόφαση ανήκει στις σημειώσεις σας και όχι σε μια εικασία.

2. Αποφασίστε τη διαδρομή διαχείρισης πριν από τη σήραγγα

Το OpenSSH προέρχεται από ξεχωριστό πακέτο openssh-server και εκτελείται ως δική του υπηρεσία. Είναι χρήσιμο όταν ένας διαχειριστής πρέπει να φτάσει το μηχάνημα μέσω SSH, αλλά το OpenVPN δεν χρειάζεται διακομιστή SSH για να ανταλλάσσει πακέτα VPN. Μια τοπική κονσόλα ή ένα εγκεκριμένο κανάλι διαχείρισης πλατφόρμας είναι άλλη έγκυρη διαδρομή. Αποφασίστε σε ποια βασίζεστε πριν αλλάξετε δρομολόγηση ή φιλτράρισμα, γιατί μια νέα σήραγγα δεν πρέπει ποτέ να είναι ο μόνος μη δοκιμασμένος τρόπος να επισκευάσει τον εαυτό της.

3. Εκδώστε διαπιστευτήρια από τον εγκεκριμένο ιδιοκτήτη

Το παράδειγμα του Ubuntu εγκαθιστά το easy-rsa δίπλα στο OpenVPN για να χτίσει ένα μικρό PKI, που είναι ρόλος έκδοσης διαπιστευτηρίων και όχι εκτελούμενη υπηρεσία σήραγγας. Αν ο οργανισμός έχει ήδη εγκεκριμένη διαδικασία έκδοσης, χρησιμοποιήστε την αντί να δημιουργήσετε μια άσχετη CA επειδή ένα σεμινάριο περιλαμβάνει μία. Κρατήστε το ιδιωτικό κλειδί και το πιστοποιητικό της πύλης ξεχωριστά από το κλειδί υπογραφής της CA, και επιλέξτε συνειδητά την τοποθεσία υπογραφής και αντιγράφων ασφαλείας. Η αντιγραφή κάθε αρχείου PKI σε κάθε κεντρικό υπολογιστή δεν είναι απαίτηση λογισμικού.

4. Αφήστε τις προσθήκες επιφάνειας εργασίας στις επιφάνειες εργασίας

Ένας επεξεργαστής NetworkManager ή μια προσθήκη εισαγωγής έχει σκοπό σε μηχάνημα που χρησιμοποιεί αυτή τη ροή εργασίας. Δεν είναι πρόσθετο χαρακτηριστικό διακομιστή που χρειάζεται επειδή η πύλη μιλά OpenVPN.

Επιλέξτε έναν ιδιοκτήτη για τη σύνδεση, και μην ξεκινήσετε ένα δεύτερο αντίγραφο του ίδιου προφίλ που διαχειρίζεται η επιφάνεια εργασίας.

5. Αποδεχτείτε την πύλη με πραγματικό πελάτη

Λιγότερα πακέτα δεν σημαίνουν ολοκληρωμένη πύλη. Ο διακομιστής χρειάζεται ακόμη εγκεκριμένο ακροατή, ταυτότητες, διαδρομές, προώθηση όπου απαιτείται, στενή πολιτική τείχους προστασίας και την προβλεπόμενη διαδρομή επιστροφής. Σημειώστε πού εμφανίζονται τα αρχεία καταγραφής του και πώς εφαρμόζονται οι ενημερώσεις, γιατί αυτές οι δύο απαντήσεις καθορίζουν πώς θα διαγνωστεί αργότερα μια βλάβη.

Ένας σχεδιασμός εξόδου στο διαδίκτυο και ένας σχεδιασμός πρόσβασης σε ιδιωτικό δίκτυο έχουν διαφορετικές απαιτήσεις προώθησης, οπότε αποφασίστε ποιον χτίζετε πριν ανοίξετε οτιδήποτε. Σηκώστε έναν εγκεκριμένο πελάτη και ελέγξτε τον προβλεπόμενο πόρο αντί για την ένδειξη της σήραγγας. Στη συνέχεια επανεκκινήστε την υπηρεσία με ελεγχόμενο τρόπο και επιβεβαιώστε τη διαδρομή εκκίνησης χωρίς επίβλεψη, γιατί μια πύλη που ανεβαίνει μόνο όσο κάποιος κοιτάει δεν έχει αναπτυχθεί ακόμη.