Ilma liideseta OpenVPN: järelevalvega seanss või hallatav teenus
OpenVPN-i käivitamine SSH kaudu on muudatus kaugvõrgus. Valige järelevalvega seanss või oma hallatav teenus ning valmistage ette identimisteave ja tee tagasi.
Käivitades OpenVPN-i SSH kaudu, käivitub see kaugmasinas, selle masina täitmiskeskkonnas. See teeb sellest muudatuse kaugvõrgus, mitte lihtsalt kaugema nupuvajutuse. Kaks mõistlikku režiimi on järelevalvega esiplaaniseanss ja oma hallatav teenus, ning neil on erinev ettevalmistus, erinev identimisteave ja erinev käitumine tõrke korral.
Kaks režiimi, üks profiil
Mõlemad režiimid kasutavad sama profiili ja mõlemad muudavad hosti marsruutimist. Erinev on see, kes on käivitamise ajal kohal, ja mis juhtub pärast seansi lõppu.
| Mode | Useful for | What it needs |
|---|---|---|
| Supervised foreground session | A connection with a human watching and able to type | A usable terminal, a reviewed profile and recovery access |
| Managed service | An unattended lifecycle that starts without a login | Owned configuration, supported credential delivery and restart policy |
Esiplaanirežiim on järelevalvega ühenduse jaoks, kus keegi on kohal. Teenuserežiim on ühenduse jaoks, mis peaks tõusma ilma kellegi sisselogimiseta. Nende segamine—esiplaaniprotsessi töös hoidmine ja samal profiilil teenuse lubamine—on siin kõige levinum ise tekitatud rike.
Mis esiplaaniseanss tegelikult on
Esiplaanil olev OpenVPN-i protsess peaks töötama seni, kuni tunnel on üleval. Initialization Sequence Completed tähendab, et lähtestamine on lõppenud, mitte et peaksite ootama viiba naasmist. Töölaua GUI peidab selle pika töö akna taha ja just seetõttu ootavad inimesed, et SSH-käsk käitub samamoodi. Ei käitu.
Kontrollige rakenduse juurdepääsu eraldi. Hõivatud terminal ja üks logirida ei tõenda ei õnnestumist ega ebaõnnestumist.
Mida vajab järelevalveta teenus
Teenus käivitub oma kontoga, oma töökataloogi ja failisüsteemi piirangutega ning kõik need erinevad teie shellist. Kasutage selgesõnalisi teid ja sobivat omandit, selle asemel et lootma jääda sellele, kus te juhtumisi seisisite. Andke üksusele taaskäivituspoliitika, mida te tõesti soovite, sest tagasilöögita ühendussilmus täidab logi ja ärritab vastaspoolt. Seejärel kontrollige, et see tõuseb pärast taaskäivitust, mitte pärast teie järgmist sisselogimist.
Interaktiivne MFA rikub järelevalveta juhtumi juba disaini järgi. Kui profiil nõuab inimese sisestatud koodi, ei ole see järelevalveta teenus, ja salvestatud ühekordne kood ei ole identimisteabe disain. Otsustage see teadlikult, selle asemel et seda alglaadimisel avastada.
Identimisteave on neli erinevat sisendit
OpenVPN-i käsiraamat eristab konsoolisisendit, identimisteabefaile, privaatvõtme paroole ja haldusliidese juhitavat suhtlust. Kasutajanime ja parooli paar on üks asi, krüptitud võtme parool on teine. Haldusliides, mis annab identimisteavet nõudmise peale, on kolmas. Valige mehhanism, mis sobib teie autentimisdizainiga, selle asemel et kõik ühte faili kokku panna, sest see töötas kord.
Kaitske profiile ja logisid, mis kannavad identiteeti või privaatset materjali. Teenusekonto loeb neid, ja igaüks, kellel on õige rühmaliikmelisus.
Üks omanik ja tee tagasi
Hoidke oma SSH-haldustee alles enne laia tunnelimarsruudi lubamist. Täistunneli konfiguratsioon lõpp-punktiga, mis sureb, võib jätta masina kättesaamatuks ja parandus nõuab siis konsooli, mida te ei korraldanud. Kinnitatud ribaväline konsool või teadlik halduse naasmise poliitika on kindlustus.
Valige rutiinseks tööks üks konfiguratsiooniomanik. Automaatne teenus ja esiplaaniprotsess, mis võistlevad samade liideste, marsruutide ja resoluutori oleku pärast, tekitavad tõrkeid, mis näevad välja nagu teenusepakkuja probleem. Peatage järelevalvega käivitus selle tavapärase katkestusega ja hallatav käivitus selle halduri kaudu, selle asemel et tappa iga openvpn-nimeline protsess.
Kirja panna tasub lihtsat erinevust: järelevalvega käivitus võib sõltuda teie seansist, järelevalveta teenus ei tohi.