Mitä ohjelmistoroolia näytötön OpenVPN-yhdyskäytävä tarvitsee

OpenVPN-yhdyskäytävälle omistettu kone tarvitsee tuetun palvelinasennuksen ja ohjelmiston niihin tehtäviin, joita se todella suorittaa. Asennusvalikko, joka tarjoaa SSH:n, webhostingin ja muita palvelinrooleja, ei ole OpenVPN:n edellytysten luettelo. Näytötön käyttöönotto on täysin järkevää. Tärkeää on erottaa kolme tehtävää: tunnelin kuljettaminen, isännän hallinta ja tunnistetietojen myöntäminen.

Tässä on käyttämäni inventointijärjestys ja tarkistus, joka sulkee jokaisen vaiheen.

1. Anna tunnelipalvelulle oma paketti ja profiili

Ubuntun OpenVPN-palvelinopas käyttää jakelun openvpn-pakettia komentorivillä ja palvelukokoonpanolla. Sama paketti toimii Linux-asiakkaana, ja kokoonpano valitsee roolin.

Se tarkoittaa, että asiakkaan GUI:n asentaminen ei tee isännästä palvelinta, eikä sen poistaminen tee siitä näytötöntä. Kirjaa, mitä profiilia käynnissä oleva instanssi lukee, koska toinen kokoonpanotiedosto samassa hakemistossa voi latautua kenenkään huomaamatta, ja taustapalvelin ilmoittaa onnistumisesta kummassakin tapauksessa. Kun profiileja on kaksi, palvelunhallinta päättää, kumpi voittaa, ja se päätös kuuluu muistiinpanoihisi eikä arvaukseen.

2. Päätä hallintareitti ennen tunnelia

OpenSSH tulee erillisestä openssh-server-paketista ja toimii omana palvelunaan. Siitä on hyötyä, kun ylläpitäjän pitäisi päästä koneelle SSH:lla, mutta OpenVPN ei tarvitse SSH-palvelinta VPN-pakettien vaihtamiseen. Paikallinen konsoli tai hyväksytty alustan hallintakanava on toinen kelvollinen reitti. Päätä, mihin luotat, ennen kuin muutat reititystä tai suodatusta, koska uuden tunnelin ei koskaan pitäisi olla ainoa testaamaton tapa korjata itsensä.

3. Myönnä tunnistetiedot hyväksytyltä omistajalta

Ubuntun esimerkki asentaa easy-rsan OpenVPN:n rinnalle rakentaakseen pienen PKI:n, mikä on tunnistetietojen myöntämisen rooli eikä käynnissä oleva tunnelipalvelu. Jos organisaatiolla on jo hyväksytty myöntämisprosessi, käytä sitä sen sijaan, että loisit siihen liittymättömän CA:n vain siksi, että opas sisältää sellaisen. Pidä yhdyskäytävän oma yksityinen avain ja varmenne erillään CA:n allekirjoitusavaimesta ja valitse allekirjoitus- ja varmuuskopiointisijainti harkiten. Jokaisen PKI-tiedoston kopioiminen jokaiseen isäntään ei ole ohjelmistovaatimus.

4. Jätä työpöytäliitännäiset työpöydille

NetworkManagerin editorilla tai tuontiliitännäisellä on tarkoitus koneessa, joka käyttää sitä työnkulkua. Se ei ole ylimääräinen palvelinominaisuus, jota tarvitaan siksi, että yhdyskäytävä puhuu OpenVPN:ää.

Valitse yhteydelle yksi omistaja, äläkä käynnistä toista, työpöydältä hallittua kopiota samasta profiilista.

5. Hyväksy yhdyskäytävä oikealla asiakkaalla

Vähemmän paketteja ei ole valmis yhdyskäytävä. Palvelin tarvitsee edelleen hyväksytyn kuuntelijan, identiteetit, reitit, edelleenlähetyksen tarvittaessa, kapean palomuurikäytännön ja aiotun paluureitin. Kirjaa, mihin sen lokit ilmestyvät ja miten päivitykset otetaan käyttöön, koska nuo kaksi vastausta ratkaisevat, miten vika myöhemmin diagnosoidaan.

Internet-poistumisen suunnittelulla ja yksityisverkkoon pääsyn suunnittelulla on erilaiset edelleenlähetysvaatimukset, joten päätä, kumpaa rakennat, ennen kuin avaat mitään. Käynnistä yksi hyväksytty asiakas ja tarkista aiottu resurssi tunnelin ilmaisimen sijaan. Käynnistä sitten palvelu uudelleen hallitusti ja vahvista valvomaton käynnistyspolku, koska yhdyskäytävä, joka nousee vain jonkun katsoessa, ei ole vielä käyttöönotettu.