In OpenVPN-klant ynrjochtsje mei fazen dy't by flaters stopje

Ynrjochtskripts dy't in flater rapportearje en trochgeane binne slimmer as skripts dy't nea rinne. It ynstellen fan de klant rekket beskerme kaaien, in identiteit by de poarte en in tsjinst dy't miskien al ferkear betsjinnet. Elk dêrfan hat in stopbetingst nedich, en it skript moat witte hokker faze it berikt hat doe't it stoppe.

Behannelje it hiele spul as ien transaksje mei fiif kontrôlepunten, en lit elk kontrôlepunt sels wegerje om troch te gean.

Reparearje de ynfier foardat jo it bestânssysteem oanreitsje

Begjin mei in eksplisyt kontrakt: ien identiteit, ien profylboarne, ien bedoelde tsjinst-eigner. Kontrolearje dat it profyl bestiet, dat it sertifikaat en de kaai dêr't it nei ferwiist lêsber binne, en dat de doelmap by it ferwachte pakket heart. In paad dat oplost is gjin bewiis dat it materiaal dêrefter folslein is.

Wegerje lege fariabelen betiid. In net-ynstelde $DEVICE dy't nei neat útwreidet makket install -m 400 $KEY /etc/openvpn/client/ ta in kopy rjochte op in map, en de mislearring komt letter as in tsjinst dy't syn kaai net lêze kin.

Set de profylset gear yn in tariedingsmap

Bou earst de folsleine set op in priveeplak: profyl, CA, kliïntsertifikaat, kaai en elke helper dy't it profyl oanropt. Kopiearje mei install -m 400 -o root -g root sadat rjochten by it oanmeitsjen set wurde en net dêrnei. Kontrolearje dan de ferwizings yn it profyl, want in relative ca- of key-rigel wurdt tsjin de wurkmap fan de ienheid oplost sadree't de tsjinst start. Der moat neat yn de libbene map skreaun wurde oant de hiele set falidearret.

Skriuw in net-geheim fingerôfdruk op fan wat dizze run produsearre, bygelyks sha256sum office.conf bewarre neist in ferzjemarkering. Krekt dy iene wearde lit in nije run ûnderskiede tusken in fernijing en gjin aksje.

Wikselje atomysk en hâld de foarige set

Ferpleats de tariede set op syn plak as ien operaasje wêr't it bestânssysteem it tastean, en hâld de neisjoene foarige set ûnder in tiidstempel namme. In partiele kopy dy't in nij profyl neist in âlde kaai lit, leveret in tsjinst dy't mei de ferkearde identiteit autentisearret en neat nuttich oer de reden logt. As de wiksel net atomysk wêze kin, oarderje de ferpleatsings sa dat it profyl it lêst lânet.

As it doel al bestiet, beslute dan eksplisyt oft dizze run in fernijing, in identike nije run of in konflikt mei it profyl fan in oar apparaat is. Stil in profyl oerskriuwe dat by in oare identiteit heart is de manier wêrop twa masines ien sertifikaat diele. Wegerje de run en neam de konfliktende eigner.

Aktivearje ien eigner en bewiis it

Kies ien aktivearringswei, of de systemd-eksimplaar of NetworkManager, en brûk dy konsekwint. It starten fan in ûnbeheard openvpn-proses neist in aktivearre ienheid jout twa tunnels, konkurrearjende DNS-ferfrissings en gjin dúdlik antwurd op hokker in stopopdracht rjochte. Kontrolearje nei aktivearring systemctl is-active openvpn-client@office, dan de rûte nei it fiere foarheaksel, dan resolvectl status foar de resolver dy't de tunnel ynstallearre. Einigje troch ien boarne te berikken wêr't de tunnel foar bestiet.

In rinnend proses en in grien tray-ikoan binne prosesfeiten, gjin bewiis dat de identiteit en it ferkearsbelied de oerdracht oerlibbe hawwe.

Nije run en ôftocht binne aparte wurkstreamen

In twadde run moat konvergearje op deselde neisjoene bestannen en deselde eigner, net in twadde akkount of in twadde daemon oanmeitsje. Ôftocht is syn eigen proseduere: stop de krekte eigner, argivearje of wiskje it lokale profyl neffens belied, en lûk de identiteit by de poarte yn. It wiskjen fan in lokale kaai-bestân lûkt in kopy dy't de masine al ferlitten hat net yn.

Hâld in herstelpaad dat net fan de tunnel ôfhinklik is, lykas konsoltagong of in twadde behearrûte. In ynrjochtsferoaring dy't jo bûten de masine slút is in mislearre feroaring, sels as elke faze sukses rapportearre.

It skript dat it wurdich is om te hâlden is in transaksje om eignerskip en bewiis. In koarte list fan privilezjeare kopyopdrachten is net itselde.