Cé acu sampla OpenVPN atá ag úsáid do phróifíl PiVPN i ndáiríre?

Scríobhann PiVPN cumraíocht freastalaí agus próifíl chliaint, ansin fágann sé; ní thiocfaidh sé choíche chun bheith ina phróiseas a iompraíonn do thrácht. Mar sin ní féidir teip ar lámhchrann, cliant ag diailiú an chríochphointe mhichearta, nó seirbhís a fhilleann go dona tar éis atosaigh a mhíniú ó mheanús an tsocraitheora. Baineann na hairíonna sin leis an daemon OpenVPN atá ag rith anois, leis an gcumraíocht a lódáil an daemon sin i ndáiríre, agus leis an logáil ar cuireadh é ina treo. Réitíonn ceithre ordú inléite amháin é de ghnáth, agus ní athraíonn aon cheann acu do dheimhniúcháin ná do eochracha.

Is réada éagsúla an cúntóir agus an daemon

Tá an mearbhall éasca le míniú: coimeádann eolaire amháin an comhad a ghineadh an cúntóir, an comhad a léann an daemon, agus uaireanta cóip seanchaite den dá rud. Is script soláthair é an cúntóir. Suiteálann sé pacáistí, scríobhann sé comhaid aonaid agus priontálann sé próifíl chliaint, agus ansin críochnaíonn a chuid oibre. Is é an rud a fhanann ná iontráil sa bhainisteoir seirbhíse agus líne ordaithe.

Ar óstach systemd, tosaigh ón aonad gníomhach seachas ó liosta an eolaire. Braitheann an t-ainm ar an bpacáistiú: nochtann íomhánna Debian agus Raspberry Pi OS sampla teimpléid de ghnáth, mar shampla openvpn-server@server, agus úsáideann suiteálacha níos sine openvpn@server. Fiafraigh den bhainisteoir cé acu atá ag rith seachas buille faoi thuairim a thabhairt ó ainm comhaid.

systemctl list-units --type=service --all | grep -i openvpn
systemctl cat openvpn-server@server

Léigh ExecStart= san aschur sin. Ainmníonn sé an inrite agus na roghanna a sheolann an bainisteoir i ndáiríre, lena n-áirítear aon --config chonair; níl comhad cumraíochta atá in aice láimhe agus nach dtagraíonn aon ordú dó mar chuid den tollán atá ag rith.

Lean an tslabhra cumraíochta a réitigh an daemon

OpenVPN ní scanann sé eolaire le haghaidh socruithe. Léann sé an comhad a chuirtear ar aghaidh leis an --config, leanann sé aon config treoir istigh ann, agus ansin cuireann sé roghanna na líne ordaithe i bhfeidhm. Cuireann an lámhleabhar 2.6 síos ar an ord sin, agus tá sé tábhachtach nuair nach n-aontaíonn dhá chomhad faoin bport, faoin bhfeiste nó faoin sifreáil.

Dumpáil an t-ionghairm éifeachtach ar dtús, ansin féach ar na treoracha a chinneann féiniúlacht agus inrochtaineacht. Tá an dá ordú inléite amháin agus sábháilte ar fhreastalaí beo, cé go bpriontálann an dara ceann conairí nach mb'fhéidir leat a bheith ag iarraidh i dticéad poiblí.

systemctl show -p ExecStart --value openvpn-server@server
grep -E '^(config|dev|proto|port|local|log|log-append|status|ca|cert|key|tls-auth|tls-crypt)' /etc/openvpn/server/server.conf

Is déantán cliaint é comhad .ovpn in eolaire baile. Ní léann daemon an fhreastalaí é riamh, mar sin ní dhéanann eagarthóireacht ar an gcomhad sin chun teip lámhchranna ar thaobh an fhreastalaí a shocrú aon rud.

Is é an gaiste eile na cuimsiú. Tarraingíonn líne config dara comhad isteach a bpróiseáiltear a roghanna ag an bpointe sin, mar sin féadann treoir aonluacha níos déanaí an rud a deir an príomhchomhad a shárú. Má fhéachann an comhad infheicthe ceart agus má iompraíonn an daemon é féin go difriúil fós, léigh an comhad cuimsithe sula n-athraíonn tú rud ar bith.

Meaitseáil an logáil leis an bpróiseas, ní leis an earráid a chuimhníonn tú

Tá dhá cheann scríbe logála coitianta, agus ní hé an journal ach ceann amháin acu. Le log-append socraithe, scríobhann an daemon chuig an gcomhad sin agus ní choinníonn an journal mórán thar línte tosaithe. Gan é, is é journalctl foinse na n-imeachtaí.

journalctl -u openvpn-server@server -n 80 --no-pager

Comhghaolaigh iarracht naisc amháin le fuinneog ama amháin. Nótaigh críochphointe an chliaint, ansin léigh imeachtaí an fhreastalaí ó na soicindí céanna. Cuireann lámhchrann TLS nach sroicheann riamh an malartú deimhniúchán in iúl go bhfuil fadhb inrochtaineachta nó neamhréir phrótacail, agus tagann diúltú fíordheimhniúcháin tar éis paraiméadair an tolláin a bheith comhaontaithe cheana féin.

Ní chruthaíonn seaniontráil logála aon rud faoi phróifíl a íoslódáil tú cúig nóiméad ó shin. Athghin an comhad cliaint, nascadh uair amháin, agus léigh na línte a tháinig chun solais le linn na hiarrachta sin amháin.

Taifead an chéad teip shonrach seachas an teip chineálach dheireanach. Seolann earráid cheangail, malartú seachtrach gan freagra, diúltú deimhniúcháin agus diúltú cuntais gach ceann acu chuig ciseal difriúil thú, agus is minic a cheiltíonn teorainn ama ag an deireadh an t-imeacht úsáideach os a chionn.

Ní céim dhiagnóiseach é an tollán a atógáil

Is é an t-aicearra mealltach dara tollán níos simplí a chur ar bun: eochair statach, gan deimhniúcháin, gan fhíordheimhniú breise. Nascfaidh sé go minic, agus ní chruthaíonn sé ach gur féidir le dhá óstach UDP nó TCP a chur thar a chéile. Ní deir sé aon rud faoi cén fáth a dteipeann ar an imscaradh deimhnithe, agus cuireann sé go ciúin in ionad an mhúnla slándála a iarradh ort a choinneáil.

Tá an rud céanna fíor maidir le díchumasú tls-auth nó tls-crypt, maolú verify-x509-name, nó dara fachtóir a fhágáil ar lár chun stádas glas a fháil. Is córas difriúil é tollán a nascann toisc gur baineadh an fhíorú, ní ceann deisithe.

Déan athrú amháin srianta sa chiseal a d'ainmnigh an logáil, atosaigh an t-aonad céanna, agus déan an iarracht naisc amháin arís. Coinníonn sé sin an chomparáid macánta, agus fágann sé athrú ar féidir leat a aisiompú.

Cad a thabharfaidh tú don chéad duine eile

Scríobh síos ceithre fhíric fad a bhíonn siad agat fós: an leagan OpenVPN ó openvpn --version, an t-aonad atá gníomhach, an tslabhra cumraíochta lena cuimsiú, agus an fhuinneog logála a chlúdaíonn iarracht amháin. Casann na ceithre rud sin gearán doiléir ina chás in-atáirgthe.

Déan redagú sula roinneann tú. Ní bhaineann eochracha príobháideacha, auth-user-pass comhaid, ábhar eochrach statach agus babhtaí cliaint iomlána le ticéad; is leor ainmneacha roghanna agus cruth na slabhra de ghnáth do dhara péire súl.

Má tá an tslabhra slán agus má leanann an logáil ag pointeáil ar an líonra, is é an chéad chéim eile an cosán idir cliant agus freastalaí seachas suiteáil eile. Sin an chuid amháin den scéal nár shealbhaigh an cúntóir riamh.