OpenVPN sans interface : session supervisée ou service géré
Démarrer OpenVPN via SSH, c’est une modification du réseau distant. Choisissez une session supervisée ou un service dont vous êtes propriétaire, et préparez les identifiants ainsi qu’un chemin de retour.
Lancer OpenVPN via SSH le démarre sur la machine distante, dans le contexte d’exécution de cette machine. Cela en fait une modification du réseau distant plutôt qu’une simple pression de bouton à distance. Les deux modes sensés sont une session supervisée au premier plan et un service dont vous êtes propriétaire ; ils ont une préparation, des identifiants et un comportement en cas d’échec différents.
Deux modes, un profil
Les deux modes consomment le même profil et tous deux changent le routage sur l’hôte. Ce qui diffère, c’est qui est présent au démarrage et ce qui se passe après la fin de la session.
| Mode | Useful for | What it needs |
|---|---|---|
| Supervised foreground session | A connection with a human watching and able to type | A usable terminal, a reviewed profile and recovery access |
| Managed service | An unattended lifecycle that starts without a login | Owned configuration, supported credential delivery and restart policy |
Le mode premier plan sert à une connexion supervisée où quelqu’un est présent. Le mode service sert à une connexion qui doit monter sans personne de connecté. Mélanger les deux, en laissant tourner un processus au premier plan tout en activant un service sur le même profil, est la panne la plus courante que l’on cause soi-même ici.
Ce qu’est vraiment la session au premier plan
Un processus OpenVPN au premier plan est censé continuer à tourner tant que le tunnel est actif. Initialization Sequence Completed signifie que l’initialisation est terminée, pas qu’il faut attendre le retour d’une invite. Une interface graphique cache ce travail de longue durée derrière une fenêtre, et c’est précisément pourquoi les gens s’attendent à ce que la commande SSH se comporte de la même façon. Ce n’est pas le cas.
Vérifiez l’accès de l’application séparément. Un terminal occupé et une ligne de journal ne prouvent ni le succès ni l’échec.
Ce dont un service sans surveillance a besoin
Un service démarre avec son propre compte, son propre répertoire de travail et ses propres restrictions de système de fichiers, et tout cela diffère de votre shell. Utilisez des chemins explicites et une propriété appropriée plutôt que de compter sur l’endroit où vous vous trouviez. Donnez à l’unité une politique de redémarrage que vous voulez vraiment, car une boucle de connexion sans temporisation remplit un journal et irrite le pair. Vérifiez ensuite qu’il monte après un redémarrage et non après votre prochaine connexion.
Le MFA interactif casse le cas sans surveillance par conception. Si le profil exige un code saisi par une personne, ce n’est pas un service sans surveillance, et un code à usage unique stocké n’est pas une conception d’identifiants. Décidez-le délibérément au lieu de le découvrir au démarrage.
Les identifiants sont quatre entrées différentes
Le manuel d’OpenVPN sépare l’entrée console, les fichiers d’identifiants, les phrases secrètes de clé privée et l’interaction pilotée par l’interface de gestion. Un couple nom d’utilisateur et mot de passe est une chose, la phrase secrète d’une clé chiffrée en est une autre. Une interface de gestion qui fournit des identifiants sur demande est une troisième. Choisissez le mécanisme qui correspond à votre conception d’authentification au lieu de tout concaténer dans un seul fichier parce que cela a marché une fois.
Protégez les profils et les journaux qui portent une identité ou du matériel privé. Le compte de service les lit, et quiconque possède l’appartenance au bon groupe aussi.
Un propriétaire, et un chemin de retour
Préservez votre voie d’administration SSH avant d’activer une route de tunnel large. Une configuration full-tunnel avec un point de terminaison qui meurt peut laisser la machine injoignable, et la réparation implique alors une console que vous n’avez pas prévue. Une console hors bande approuvée ou une politique de retour de gestion délibérée est l’assurance.
Choisissez un seul propriétaire de la configuration pour l’exploitation courante. Un service automatique et un processus au premier plan qui se disputent les mêmes interfaces, routes et état du résolveur produisent des pannes qui ressemblent à un problème de fournisseur. Arrêtez une exécution supervisée avec son interruption normale, et une exécution gérée via son gestionnaire plutôt qu’en tuant tous les processus nommés openvpn.
La distinction à écrire est simple : une exécution supervisée peut dépendre de votre session, un service sans surveillance non.