Milliseid tarkvara rolle vajab ekraanita OpenVPN lüüs

OpenVPN lüüsile pühendatud masin vajab toetatud serveri paigaldust ja tarkvara nende tööde jaoks, mida see tegelikult teeb. Paigaldusmenüü, mis pakub SSH-d, veebimajutust ja teisi serverirolle, ei ole OpenVPN eelduste loend. Ekraanita juurutamine on täiesti mõistlik. Tähtis on eraldada kolm tööd: tunneli kandmine, hosti haldamine ja volituste väljastamine.

Siin on loendijärjekord, mida ma kasutan, koos kontrolliga, mis iga sammu sulgeb.

1. Andke tunneliteenusele oma pakett ja profiil

Ubuntu OpenVPN serveri juhend kasutab distributsiooni openvpn paketti käsureaga ja teenuse konfiguratsiooniga. Sama pakett toimib Linuxi kliendina ja rolli valib konfiguratsioon.

See tähendab, et kliendi GUI paigaldamine ei tee hostist serverit ja selle eemaldamine ei tee seda ekraanita. Kirjutage üles, millist profiili käivitatud eksemplar loeb, sest teine konfiguratsioonifail samas kaustas võidakse märkamatult laadida ja deemon teatab mõlemal juhul õnnestumisest. Kui profiile on kaks, otsustab teenusehaldur, milline võidab, ja see otsus kuulub teie märkmetesse, mitte oletusse.

2. Otsustage haldustee enne tunnelit

OpenSSH pärineb eraldi openssh-serveri paketist ja töötab oma teenusena. See on kasulik, kui administraator peaks masinani jõudma SSH kaudu, kuid OpenVPN ei vaja VPN-pakettide vahetamiseks SSH-serverit. Kohalik konsool või heakskiidetud platvormihalduskanal on teine kehtiv tee. Otsustage, millele te toetute, enne kui muudate marsruutimist või filtreerimist, sest uus tunnel ei tohiks kunagi olla ainus katsetamata viis end parandada.

3. Väljastage volitused heakskiidetud omanikult

Ubuntu näide paigaldab OpenVPN-i kõrvale easy-rsa, et ehitada väike PKI, mis on volituste väljastamise roll, mitte töötav tunneliteenus. Kui organisatsioonil on juba heakskiidetud väljastamisprotsess, kasutage seda, selle asemel et luua seosetu CA ainult seetõttu, et õpetus selle sisaldab. Hoidke lüüsi oma privaatvõti ja sertifikaat CA allkirjastamisvõtmest eraldi ning valige allkirjastamise ja varunduse asukoht teadlikult. Iga PKI-faili igasse hosti kopeerimine ei ole tarkvara nõue.

4. Jätke töölaua pluginaid töölaudadele

NetworkManageri redaktoril või impordipluginil on mõte masinas, mis seda töövoogu kasutab. See ei ole täiendav serveri funktsioon, mida on vaja sellepärast, et lüüs räägib OpenVPN-i.

Valige ühendusele üks omanik ja ärge käivitage sama profiili teist, töölaua hallatavat koopiat.

5. Võtke lüüs vastu päris kliendiga

Vähem pakette ei ole valmis lüüs. Server vajab endiselt heakskiidetud kuulajat, identiteete, marsruute, vajadusel edasisaatmist, kitsast tulemüüri poliitikat ja kavandatud tagasiteed. Kirjutage üles, kus selle logid ilmuvad ja kuidas uuendusi rakendatakse, sest need kaks vastust otsustavad, kuidas riket hiljem diagnoositakse.

Interneti väljundi lahendus ja privaatvõrgu juurdepääsu lahendus vajavad erinevat edasisaatmist, seega otsustage, millist te ehitate, enne kui midagi avate. Käivitage üks heakskiidetud klient ja kontrollige kavandatud ressurssi, mitte tunneli indikaatorit. Seejärel taaskäivitage teenus kontrollitult ja kinnitage järelevalveta käivitusrada, sest lüüs, mis tõuseb ainult siis, kui keegi vaatab, ei ole veel juurutatud.