OpenVPN sen interfaco: gvidata seanco aŭ administrata servo
Lanĉi OpenVPN per SSH estas ŝanĝo en la fora reto. Elektu gvidatan seanson aŭ propran servon, kaj preparu akreditaĵojn plus vojon reen.
Lanĉi OpenVPN per SSH lanĉas ĝin sur la fora maŝino, en la plenumkunteksto de tiu maŝino. Tio faras ĝin ŝanĝo en la fora reto, ne nur fora butonpremo. La du prudentaj reĝimoj estas gvidata antaŭplana seanco kaj propra servo, kaj ili havas malsaman preparadon, malsamajn akreditaĵojn kaj malsaman malsukcesan konduton.
Du reĝimoj, unu profilo
Ambaŭ reĝimoj uzas la saman profilon kaj ambaŭ ŝanĝas la enkursigon sur la gastiganto. Kio malsamas, estas kiu ĉeestas kiam ĝi ekas, kaj kio okazas post la fino de la seanco.
| Mode | Useful for | What it needs |
|---|---|---|
| Supervised foreground session | A connection with a human watching and able to type | A usable terminal, a reviewed profile and recovery access |
| Managed service | An unattended lifecycle that starts without a login | Owned configuration, supported credential delivery and restart policy |
La antaŭplana reĝimo estas por gvidata konekto, kie iu ĉeestas. La serva reĝimo estas por konekto, kiu devas ekfunkcii sen iu ensalutinta. Miksi ilin, lasante antaŭplanan procezon funkcii dum samtempe ebligante servon sur la sama profilo, estas la plej ofta memfarita paneo ĉi tie.
Kio vere estas la antaŭplana seanco
Antaŭplana OpenVPN-procezo devas daŭre funkcii dum la tunelo estas aktiva. Initialization Sequence Completed signifas, ke la inicialigo finiĝis, ne ke vi atendu revenon de invito. Labortabla GUI kaŝas tiun longdaŭran laboron malantaŭ fenestro, kaj ĝuste tial homoj atendas, ke la SSH-komando kondutu same. Ĝi ne faras tion.
Kontrolu la aliron de la aplikaĵo aparte. Okupata terminalo kaj unu protokola linio pruvas nek sukceson nek malsukceson.
Kion bezonas servo sen prizorgo
Servo ekas kun propra konto, labordosierujo kaj dosiersistemaj limigoj, kaj ĉiuj tiuj malsamas de via ŝelo. Uzu eksplicitajn vojojn kaj taŭgan posedon anstataŭ fidi je tio, kie vi hazarde staris. Donu al la unuo restarigan politikon, kiun vi vere volas, ĉar konekta buklo sen retiriĝo plenigas protokolon kaj ĝenas la kunulon. Poste kontrolu, ke ĝi ekfunkcias post restarigo, ne post via sekva ensaluto.
Interaga MFA rompas la senprizorgan kazon laŭdezajne. Se la profilo bezonas kodon tajpitan de persono, ĝi ne estas senprizorga servo, kaj konservita unufoja kodo ne estas akreditaĵa dezajno. Decidu tion konscie anstataŭ malkovri ĝin ĉe ŝarĝo.
Akreditaĵoj estas kvar malsamaj enigoj
La manlibro de OpenVPN apartigas konsolan enigon, akreditaĵajn dosierojn, pasfrazojn de privata ŝlosilo kaj administrad-kondukatan interagon. Paro da uzantnomo kaj pasvorto estas unu afero, kaj la pasfrazo de ĉifrita ŝlosilo estas alia. Administra interfaco, kiu liveras akreditaĵojn laŭpeto, estas tria. Elektu la mekanismon kongruan al via aŭtentikiga dezajno anstataŭ kunigi ĉion en unu dosieron ĉar tio hazarde funkciis unufoje.
Protektu la profilojn kaj protokolojn, kiuj portas identecon aŭ privatan materialon. La serva konto legas ilin, kaj same ĉiu kun la ĝusta grupa membreco.
Unu posedanto, kaj vojo reen
Konservu vian SSH-administran vojon antaŭ ol ebligi larĝan tunelan itineron. Plentunela agordo kun finpunkto, kiu mortas, povas lasi la maŝinon neatingebla, kaj la riparo tiam postulas konzolon, kiun vi ne aranĝis. Aprobita eksterbanda konzolo aŭ konscia administra-revena politiko estas la asekuro.
Elektu unu agordan posedanton por rutina funkciado. Aŭtomata servo kaj antaŭplana procezo konkurentaj por la samaj interfacoj, itineroj kaj solvila stato produktas paneojn, kiuj aspektas kiel provizanta problemo. Haltigu gvidatan kuron per ĝia normala interrompo, kaj administratan per ĝia administrilo anstataŭ mortigi ĉiun procezon nomatan openvpn.
La distingo inda skribi estas simpla: gvidata kuro povas dependi de via seanco, kaj senprizorga servo ne rajtas.