OpenVPN kudeaketa-socket: kontrol-kanal bat, ez metrikak

Eskatu behin egoera kudeaketa-interfazeari eta egoera-porta bat ematen du. Ez da. Bezero bat onartuta, protokoloaren kontrol-aginduak eman ditzake, eta bezero hori exekutatzen duen kontuak agindu horiek daimonari egin diezaioketena heredatzen du. Irakurtzeko soilik den fluxu gisa tratatzea da monitorizazio-integraziotik autentikaziorik gabeko kontsola bihurtzen duen akatsa.

Ustea, eta zenbat kostatzen duen

Ustea da kudeaketa-entzulea metrika-endpoint baten baliokidea dela: konektatu biltzaile bat, irakurri kontagailuak, jarraitu. Benetan gertatzen dena da biltzaileak kontrol-gaitasunak dituen saio bat irekitzen duela, eta inplementazioari buruz egin zenuen beste edozein suposizio orain biltzaile hori ondo portatzearen mende dagoela.

Interfazean ezerk ez du irakurtzeko soilik den modua iragartzen. Ez dago hautatzeko begirale-rolik, eta konfigurazioko erabiltzaile-izen batek ez du bat sortzen.

Onartutako bezero batek benetan daukaena

Komunitatearen daimonak kudeaketa-bezero aktibo bakarra onartzen du aldi berean. Toki bakar horrek esan nahi du GUI bat, script bat eta monitorizazio-agente bat ezin direla denak konektatu; bigarrena itxaroten edo huts egiten du lehenengoak saioa mantentzen duen bitartean. Zure diseinuak irakurle paraleloak suposatzen baditu, dagoeneko oker dago.

Aldizkako snapshot bat nahikoa denean, egoera-fitxategiaren irteerak zenbaki berak ematen dizkizu zuzeneko saiorik gabe. Fitxategi hori tartean behin idaztea eta fitxategi-baimen arruntekin irakurtzeak biltzailea kontrol-planoetatik erabat kanpo uzten du, eta hori da monitorizazio gehienek benetan behar duten antolamendua.

Soket propioa, ez irekia

Unix domeinuko socket batek kontrol-bidea sarearen kanpoan mantentzen du, eta horrek tunelaren helbide aldakorra kentzen du problematik. Ez du baimenen kontua kentzen. Goragoko direktorioak zerbitzu-konturako idazgai eta kontroladorearen konturako irisgarri izan behar du, eta horiek bi baimen bereizi dira:

management /run/openvpn/office-management.sock unix /etc/openvpn/management.password
management-client-user vpn-observer
management-client-group vpn-observer

Pasahitz-fitxategiak kudeaketa-sekretua darama bere lehen lerroan. Babestu fitxategi hori beste edozein kredentzial bezala, eta mantendu haren edukia erregistroetatik eta laguntza-txarteletatik kanpo. Erabiltzaile- eta talde-murrizketak Unix socketaren pareko egiaztapenak dira, ez fitxategi-sistemaren baimenak, beraz, aurreikusitako prozesuak fitxategirako sarbidea eta dagokion identitatea behar ditu.

Baimen-errore bat garbitzeko socket-a mundu osoari irisgarri egitea da saihestu beharreko konponbide bakarra. Tokiko kontrol-kanala ostalarian edozein prozesuk gida dezakeen zerbait bihurtzen du.

TCP bidez argitaratzea ez da diseinu bera

Entzulea TCP portu batera eramateak ez du seguruago edo erosoago egiten. Kudeaketa-pasahitza testu arruntean bidaltzen da, beraz TCP entzule batek kredentziala eta saioa bidea behatu dezakeen edonorentzat agerian uzten ditu. Beste ostalari batetik hara iristeak baimendutako administrazio-kanal bat edo behar dituzun behaketak soilik erakusten dituen tokiko agente txiki bat behar du.

Testu arrunteko garraioan pasahitz bat autentikazioa da konfidentzialtasunik gabe, eta konbinazio hori itxura baino okerragoa da babestuta sentiarazten duelako.

Ez zenituen eskatu abioko menpekotasunak

Kudeaketa-aukerak hainbat dira eta daimonaren bizi-zikloa aldatzen dute. Abioa kontroladore bat konektatu arte atxikitzeak, edo kontroladorea desagertzen denean amaitzeak, aukerako begirale bat menpekotasun gogor bihurtzen du. Orduan kraskatzen den monitorizazio-agente batek tunela ere berekin eramango luke.

Berrikusi aukera horiek socket-a bera baino gehiago ezer gaitzen hasi aurretik. Aukerako behaketak aukerakoa izaten jarraitu behar du, eta berrabiarazteko politikak ez luke grafikoetarako gehitutako biltzaile bati lotu behar.

Prozesu batek huts egin ondoren geratzen den socket-fitxategi bat ez da entzule bat dagoenaren froga. Identifikatu zein instantziak duen bidea kendu aurretik, eta erabili zerbitzuaren berreskuratze-fluxua daimon bat martxan dagoen bitartean fitxategiak ezabatu beharrean.

Nola ikusten den onarpena

Lau egiaztapenek estaltzen dute diseinua: aurreikusitako kontroladore-identitatea konektatzen da, identitate hori ez duen prozesu bat baztertzen da, daimonak abisurik gabe deskonektatzen den kontroladore bat gainditzen du, eta tunelak trafikoa eramaten jarraitzen du berrabiarazte kontrolatu batean zehar. Kudeaketa-konexio arrakastatsu batek kontrol-planoa soilik frogatzen du. Ez du ezer esaten aplikazio pribatuen trafikoak funtzionatzen duen ala ez, beraz probatu hori bereizita. Idatzi lau emaitzak hurrengo operadoreak aurki ditzakeen tokian.

Kudeaketa-interfazearen dokumentazioak bezero bakarreko eredua eta protokoloaren izaera pribilegiatua deskribatzen ditu, eta hori da panel bat hari zuzendu aurretik irakurtzea merezi duen zatia.