Headless OpenVPN: valvottu istunto vai hallittu palvelu
OpenVPN:n käynnistäminen SSH:n yli on muutos etäverkossa. Valitse valvottu istunto tai oma palvelu ja valmistele tunnistetiedot sekä paluureitti.
Käynnistettäessä OpenVPN SSH:n yli se käynnistyy etäkoneella, kyseisen koneen suoritusympäristössä. Se tekee siitä etäverkon muutoksen eikä pelkkää etänäpainallusta. Kaksi järkevää tilaa ovat valvottu etualan istunto ja oma palvelu, ja niillä on erilainen valmistelu, erilaiset tunnistetiedot ja erilainen virhekäyttäytyminen.
Kaksi tilaa, yksi profiili
Molemmat tilat käyttävät samaa profiilia ja molemmat muuttavat reititystä isännällä. Erona on, kuka on paikalla käynnistyksen aikana ja mitä tapahtuu istunnon päätyttyä.
| Mode | Useful for | What it needs |
|---|---|---|
| Supervised foreground session | A connection with a human watching and able to type | A usable terminal, a reviewed profile and recovery access |
| Managed service | An unattended lifecycle that starts without a login | Owned configuration, supported credential delivery and restart policy |
Etualan tila on tarkoitettu valvotulle yhteydelle, jossa joku on paikalla. Palvelutila on tarkoitettu yhteydelle, jonka pitäisi nousta ilman sisäänkirjautunutta henkilöä. Niiden sekoittaminen, eli etualan prosessin jättäminen käyntiin ja samalla palvelun ottaminen käyttöön samalla profiililla, on täällä yleisin itse aiheutettu rikko.
Mikä etualan istunto oikeastaan on
Etualan OpenVPN-prosessin on tarkoitus jatkaa käyntiä niin kauan kuin tunneli on pystyssä. Initialization Sequence Completed tarkoittaa, että alustus on valmis, ei että sinun pitäisi odottaa kehotteen paluuta. Työpöydän graafinen käyttöliittymä piilottaa tuon pitkän työn ikkunan taakse, ja juuri siksi ihmiset odottavat SSH-komennon käyttäytyvän samoin. Se ei käyttäydy.
Tarkista sovelluksen pääsy erikseen. Varattu pääte ja yksi lokirivi eivät todista onnistumista eivätkä epäonnistumista.
Mitä valvomaton palvelu tarvitsee
Palvelu käynnistyy omalla tilillä, omalla työhakemistolla ja omilla tiedostojärjestelmän rajoituksilla, ja kaikki nämä eroavat kuorestasi. Käytä selkeitä polkuja ja asianmukaista omistajuutta sen sijaan, että luottaisit siihen, missä satuit seisomaan. Anna yksikölle uudelleenkäynnistyskäytäntö, jonka todella haluat, koska ilman perääntymistä toimiva yhteyssilmukka täyttää lokin ja ärsyttää vastapuolta. Varmista sitten, että se nousee uudelleenkäynnistyksen jälkeen eikä vasta seuraavan kirjautumisesi jälkeen.
Interaktiivinen MFA rikkoo valvomattoman tapauksen suunnittelultaan. Jos profiili vaatii ihmisen kirjoittaman koodin, se ei ole valvomaton palvelu, eikä tallennettu kertakäyttökoodi ole tunnistetietosuunnittelu. Päätä se tietoisesti sen sijaan, että löytäisit sen käynnistyksessä.
Tunnistetiedot ovat neljä eri syötettä
OpenVPN:n käsikirja erottaa konsolisyötteen, tunnistetiedostot, yksityisavaimen salasanat ja hallinnan ohjaaman vuorovaikutuksen. Käyttäjänimen ja salasanan pari on yksi asia, ja salatun avaimen salasana on toinen. Hallintaliittymä, joka toimittaa tunnistetiedot pyynnöstä, on kolmas. Valitse mekanismi, joka sopii todennuksesi suunnitteluun, sen sijaan että ketjuttaisit kaiken yhteen tiedostoon, koska se sattui toimimaan kerran.
Suojaa profiilit ja lokit, jotka kantavat identiteettiä tai yksityistä aineistoa. Palvelutili lukee ne, ja niin tekee kuka tahansa, jolla on oikea ryhmäjäsenyys.
Yksi omistaja ja paluureitti
Säilytä SSH-hallintareittisi ennen laajan tunnelireitin ottamista käyttöön. Kokotunnelin kokoonpano, jonka päätepiste kuolee, voi jättää koneen tavoittamattomaksi, ja korjaus vaatii silloin konsolin, jota et järjestänyt. Hyväksytty kaistanulkoinen konsoli tai tietoinen hallinnan paluukäytäntö on vakuutus.
Valitse yksi kokoonpanon omistaja rutiinikäyttöön. Automaattinen palvelu ja etualan prosessi, jotka kilpailevat samoista liittymistä, reiteistä ja resoluuttorin tilasta, tuottavat vikoja, jotka näyttävät palveluntarjoajan ongelmalta. Pysäytä valvottu ajo sen normaalilla keskeytyksellä ja hallittu sen hallinnan kautta sen sijaan, että tappaisit jokaisen openvpn-nimisen prosessin.
Kirjattava ero on yksinkertainen: valvottu ajo voi riippua istunnostasi, valvomaton palvelu ei.