OpenVPN-administra ingo: rega kanalo, ne metrikoj

Demandu unufoje staton al la administra interfaco, kaj ĝi komencas aspekti kiel stata pordo. Ĝi ne estas. Post kiam kliento estas akceptita, ĝi povas eldoni la regajn komandojn de la protokolo, kaj la konto, kiu rulas tiun klienton, heredas ĉion, kion tiuj komandoj povas fari al la demono. Trakti ĝin kiel nurlegan fluon estas la eraro, kiu igas monitoringan integriĝon neaŭtentigita konzolo.

La kredo, kaj kion ĝi kostas

La kredo estas, ke la administra aŭskultanto egalas al metrika finpunkto: alkroĉu kolektanton, legu la nombrilojn, iru plu. Fakte la kolektanto malfermas seancon kun regaj kapabloj, kaj ĉiu alia supozo, kiun vi faris pri la deplojo, nun dependas de tio, ke tiu kolektanto kondutu bone.

Nenio en la interfaco reklamas nurlegan reĝimon. Ne estas observebla rolo por elekti, kaj uzantnomo en la agordo ne kreas unu.

Kion akceptita kliento fakte tenas

La komunuma demono akceptas nur unu aktivan administran klienton samtempe. Tiu sola loko signifas, ke GUI, skripto kaj monitora agento ne povas ĉiuj alkroĉiĝi; la dua atendas aŭ malsukcesas dum la unua tenas la seancon. Se via dezajno supozas samtempajn legantojn, ĝi jam estas malĝusta.

Kie perioda momenta bildo sufiĉas, la eligo de la stata dosiero donas al vi la samajn nombrojn sen viva seanco. Skribi tiun dosieron laŭ intervaloj kaj legi ĝin per ordinaraj dosierpermesoj tenas la kolektanton tute ekster la rega ebeno, kaj tio estas la aranĝo, kiun plej multaj monitoradoj fakte bezonas.

Propra ingo, ne malfermita

Uniksa domajna ingo tenas la regan vojon ekster la reto, kio forigas la ŝanĝiĝantan tunelan adreson el la problemo. Ĝi ne forigas la demandon pri permesoj. La gepatro-dosierujo devas esti skribebla de la serva konto kaj atingebla de la konto de la regilo, kaj tiuj estas du apartaj permesoj:

management /run/openvpn/office-management.sock unix /etc/openvpn/management.password
management-client-user vpn-observer
management-client-group vpn-observer

La pasvorta dosiero portas la administran sekreton en sia unua linio. Protektu tiun dosieron kiel ĉiun alian legitimilon, kaj tenu ĝian enhavon ekster protokoloj kaj subtenaj biletoj. La limigoj de uzanto kaj grupo estas samrangaj kontroloj sur la Uniksa ingo, ne dosiersistemaj permesoj, do la celata procezo bezonas kaj la dosieraliro kaj la kongruan identecon.

Fari la ingon tutmonda por forigi permesan eraron estas la sola riparo, kiun vi devas eviti. Ĝi transformas lokan regan kanalon en ion, kion ĉiu procezo sur la gastiganto povas regi.

Publikigi ĝin per TCP ne estas la sama dezajno

Transloki la aŭskultanton al TCP-pordo ne faras ĝin pli sekura aŭ pli oportuna. La administra pasvorto estas sendita en klara teksto, do TCP-aŭskultanto elmetas kaj la legitimilon kaj la seancon al ĉiu, kiu povas observi la vojon. Atingi ĝin de alia gastiganto postulas rajtigitan administran kanalon aŭ malgrandan lokan agenton, kiu elmetas nur la observojn, kiujn vi bezonas.

Pasvorto sur klarteksta transporto estas aŭtentigo sen konfideco, kaj tiu kombinaĵo estas pli malbona, ol ĝi aspektas, ĉar ĝi sentiĝas protektita.

Startaj dependecoj, kiujn vi ne petis

Pluraj administraj opcioj ŝanĝas la vivociklon de la demono. Teni la starton ĝis regilo konektiĝos, aŭ ĉesigi, kiam la regilo malaperas, igas laŭvolan observanton malmola dependeco. Monitora agento, kiu kraŝus, tiam kuntirus la tunelon kun si.

Revizu tiujn opciojn antaŭ ol ebligi ion ajn preter la ingo mem. Laŭvola observado devus resti laŭvola, kaj restartiga politiko ne devus esti kunligita al kolektanto aldonita por grafikaĵoj.

Inga dosiero lasita post malsukcesa procezo ne estas pruvo, ke aŭskultanto ekzistas. Identigu, kiu kazo posedas la vojon, antaŭ ol forigi ĝin, kaj uzu la propran rekuperan laborfluon de la servo anstataŭ forigi dosierojn sub funkcianta demono.

Kiel aspektas akcepto

Kvar kontroloj kovras la dezajnon: la celata identeco de la regilo konektiĝas, procezo sen tiu identeco estas malakceptata, la demono postvivas regilon, kiu malkonektiĝas sen averto, kaj la tunelo ankoraŭ portas trafikon tra kontrolita restarto. Sukcesa administra konekto pruvas nur la regan ebenon. Ĝi diras nenion pri tio, ĉu la trafiko de privataj aplikaĵoj funkcias, do testu tion aparte. Skribu la kvar rezultojn tie, kie la sekva operatoro povas trovi ilin.

La dokumentaro de la administra interfaco priskribas la unu-klientan modelon kaj la privilegian naturon de la protokolo, kaj tio estas la parto inda legi antaŭ ol vi direkti panelon al ĝi.