Kiujn softvarajn rolojn bezonas senkapa OpenVPN-pordego

Maŝino dediĉita al OpenVPN-pordego bezonas subtenatan servilan instalon kaj la softvaron por la taskoj, kiujn ĝi efektive plenumas. Instala menuo, kiu proponas SSH, retgastigadon kaj aliajn servilajn rolojn, ne estas listo de antaŭkondiĉoj de OpenVPN. Senkapa deplojo estas tute racia. Gravas apartigi tri taskojn: porti la tunelon, administri la gastigan maŝinon kaj eldoni legitimilojn.

Jen la inventara ordo, kiun mi uzas, kun la kontrolo, kiu fermas ĉiun paŝon.

1. Donu al la tunela servo propran pakaĵon kaj profilon

La gvidilo pri OpenVPN-servilo de Ubuntu uzas la pakaĵon openvpn de la distribuo kun komandlinio kaj serva agordo. La sama pakaĵo servas kiel Linuksa kliento, kaj la agordo elektas la rolon.

Tio signifas, ke instalo de klienta GUI ne estas tio, kio igas la maŝinon servilo, kaj forigo de ĝi ne estas tio, kio igas ĝin senkapa. Notu, kiun profilon legas la kuranta instanco, ĉar dua agorda dosiero en la sama dosierujo povas esti ŝargita nerimarkite, kaj la demono raportas sukceson en ambaŭ kazoj. Kiam ekzistas du profiloj, la servadministranto decidas, kiu venkas, kaj tiu decido apartenas al viaj notoj, ne al konjekto.

2. Decidu la administran vojon antaŭ la tunelo

OpenSSH venas el aparta pakaĵo openssh-server kaj funkcias kiel propra servo. Ĝi utilas, kiam administranto devas atingi la maŝinon per SSH, sed OpenVPN ne bezonas SSH-servilon por interŝanĝi VPN-pakaĵojn. Loka konzolo aŭ aprobita platforma administra kanalo estas alia valida vojo. Decidu, kiun vi fidas, antaŭ ol ŝanĝi enkursigon aŭ filtradon, ĉar nova tunelo neniam rajtas esti la sola neprovita maniero ripari sin.

3. Eldonu legitimilojn de la aprobita posedanto

La ekzemplo de Ubuntu instalas easy-rsa apud OpenVPN por konstrui malgrandan PKI, kio estas rolo de eldonado de legitimiloj, ne funkcianta tunela servo. Se la organizo jam havas aprobitan eldonan procezon, uzu ĝin anstataŭ krei neparencan CA ĉar lernilo enhavas unu. Tenu la propran privatan ŝlosilon kaj atestilon de la pordego aparte de la subskriba ŝlosilo de la CA, kaj elektu la lokon de subskribado kaj savkopio konscie. Kopii ĉiun PKI-dosieron al ĉiu gastiga maŝino ne estas softvara postulo.

4. Lasu labortablajn kromaĵojn al labortabloj

Redaktilo de NetworkManager aŭ enporta kromaĵo havas celon sur maŝino, kiu uzas tiun laborfluon. Ĝi ne estas plia servila funkcio bezonata ĉar la pordego parolas OpenVPN.

Elektu unu posedanton por la konekto, kaj ne startigu duan, de labortablo administritan kopion de la sama profilo.

5. Akceptu la pordegon per reala kliento

Malpli da pakaĵoj ne estas finita pordego. La servilo ankoraŭ bezonas aprobitan aŭskultanton, identecojn, vojojn, plusendadon kie necese, mallarĝan fajroŝirmilan politikon kaj la celitan revenan vojon. Notu, kie aperas ĝiaj protokoloj kaj kiel aplikiĝas ĝisdatigoj, ĉar tiuj du respondoj decidas, kiel paneo estos diagnozita poste.

Retelira dezajno kaj privata-reta alira dezajno havas malsamajn plusendajn postulojn, do decidu, kiun vi konstruas, antaŭ ol malfermi ion ajn. Starigu unu aprobitan klienton kaj kontrolu la celitan rimedon anstataŭ la tunelan indikilon. Poste restartigu la servon kontroleble kaj konfirmu la senhoman startvojon, ĉar pordego, kiu ekfunkcias nur dum iu rigardas, ankoraŭ ne estas deplojita.