OpenVPN-behearsocket: in kontrôlekanaal, gjin metriken

Freegje de behearinterface ien kear om in status en it begjint op in statuspoarte te lykjen. Dat is it net. Sadree't in klant talitten is, kin dy de kontrôleopdrachten fan it protokol útjaan, en it akkount dat dy klant draait erft alles wat dy opdrachten mei de daemon dwaan kinne. It as in allinnich-lêze feed behannelje is de flater dy't in monitoringyntergraasje yn in net-authentisearre console feroaret.

It leauwen, en wat it kostet

It leauwen is dat de behearluisterder lykweardich is oan in metriken-einpunt: heakje in samler oan, lês de tellers, gean troch. Wat eins bart, is dat de samler in sesje iepenet mei kontrôlemoglikheden, en elke oare oanname dy't jo oer de útrol dwaan, hinget no ôf fan dat dy samler him goed hâldt.

Neat yn ’e interface advertearret in allinnich-lêze modus. Der is gjin waarnimmerrol om te kiezen, en in brûkersnamme yn ’e konfiguraasje makket der gjinien.

Wat in talitten klant eins hâldt

De mienskippsdaemon akseptearret ien aktive behearderklant tagelyk. Dat iene slot betsjut dat in GUI, in skript en in monitoringagent net allegear oanslute kinne; de twadde wachtet of mislearret wylst de earste de sesje hâldt. As jo ûntwerp tagelyk lêzers ferûnderstelt, is it al ferkeard.

Wêr't in periodike snapshot genôch is, jout de statusbestân-útfier jo deselde sifers sûnder in libbene sesje. Dat bestân mei tuskenskoften skriuwe en it mei gewoane bestânsrjochten lêze hâldt de samler hielendal bûten it kontrôleflak, en dat is de regeling dy't de measte monitoring eins nedich hat.

In eigen socket, net in iepen

In Unix-domeinsocket hâldt it kontrôlepaad fan it netwurk ôf, wat it feroarjende tunneladres út it probleem hellet. It hellet de rjochtenkwestje net fuort. De memmedirektory moat skriuwber wêze foar it tsjinstakkount en berikber foar it akkount fan de kontrôler, en dat binne twa aparte tastimmingen:

management /run/openvpn/office-management.sock unix /etc/openvpn/management.password
management-client-user vpn-observer
management-client-group vpn-observer

It wachtwurd-bestân draacht it beheargeheim yn syn earste rigel. Beskermje dat bestân as elk oar bewiis, en hâld de ynhâld derfan bûten logs en stipekaarten. De brûker- en groepsbeheiningen binne peer-kontrôles op de Unix-socket, net bestânsysteemrjochten, dus it bedoelde proses hat sawol de bestânstoegong as de oerienkommende identiteit nedich.

De socket foar de hiele wrâld tagonklik meitsje om in rjochtenflater op te lossen is de iene reparaasje dy't jo foarkomme moatte. It makket in lokale kontrôlekanaal ta eat dat elk proses op de host driuwe kin.

Fia TCP publisearje is net itselde ûntwerp

De luisterder nei in TCP-poarte ferpleatse makket it net feiliger of handiger. It behearwachtwurd wurdt yn iepen tekst ferstjoerd, dus in TCP-luisterder bleatst sawol it bewiis as de sesje foar elkenien dy't it paad besjen kin. It berikke fan in oare host freget in autorisearre administraasjekanaal, of in lytse lokale agent dy't allinnich de waarnimmingen bleatst dy't jo nedich hawwe.

In wachtwurd oer in iepen-tekstferfier is autentikaasje sûnder fertroulikheid, en dy kombinaasje is slimmer as it liket om't it beskerme fielt.

Opstartôfhinklikheden dy't jo net fregen

Ferskate behearopsjes feroarje de libbenssyklus fan de daemon. It opstarten oanhâlde oant in kontrôler ferbynt, of beëinigje as de kontrôler ferdwynt, makket in opsjonele waarnimmer ta in hurde ôfhinklikheid. In monitoringagent dy't crasht soe dan de tunnel meinimme.

Besjoch dy opsjes foardat jo eat bûten de socket sels ynskeakelje. Opsjonele waarnimming moat opsjoneel bliuwe, en in herstartbelied moat net keppele wêze oan in samler dy't foar grafiken tafoege is.

In socketbestân dat efterbliuwt nei in mislearre proses is gjin bewiis dat der in luisterder bestiet. Stel fêst hokker eksimplaar it paad besit foardat jo it fuorthelje, en brûk de eigen herstelmethode fan de tsjinst ynstee fan bestannen ûnder in draaiende daemon te wiskjen.

Hoe't akseptaasje der útsjocht

Fjouwer kontrôles dekke it ûntwerp: de bedoelde identiteit fan de kontrôler ferbynt, in proses sûnder dy identiteit wurdt wegere, de daemon oerlibbet in kontrôler dy't sûnder warskôging ferbrekt, en de tunnel draacht noch ferkear troch in kontrolearre herstart. In suksesfolle behearferbining bewiist allinnich it kontrôleflak. It seit neat oer oft it ferkear fan privee-applikaasjes wurket, dat test dat apart. Skriuw de fjouwer resultaten del wêr't de folgjende operator se fine kin.

De dokumintaasje fan de behearinterface beskriuwt it ien-klantmodel en it privilezjeare karakter fan it protokol, en dat is it part dat it wurdich is te lêzen foardat jo in dashboard derop rjochtsje.