OpenVPN sen interface: sesión supervisada ou servizo xestionado

Executar OpenVPN por SSH iníciao na máquina remota, no contexto de execución desa máquina. Iso convérteo nun cambio da rede remota e non nun simple premer de botón remoto. Os dous modos sensatos son unha sesión supervisada en primeiro plano e un servizo propio, e teñen distinta preparación, distintas credenciais e distinto comportamento ante fallos.

Dous modos, un perfil

Ambos os modos consomen o mesmo perfil e ambos cambian o encamiñamento no host. O que difire é quen está presente cando arrinca e que ocorre despois de que remate a sesión.

O modo en primeiro plano é para unha conexión supervisada na que hai alguén presente. O modo servizo é para unha conexión que debe subir sen que ninguén teña iniciado sesión. Mesturalos, deixando un proceso en primeiro plano en marcha e habilitando á vez un servizo co mesmo perfil, é a avaría máis común que un mesmo se causa aquí.

Que é realmente a sesión en primeiro plano

Un proceso de OpenVPN en primeiro plano debe seguir executándose mentres o túnel está activo. Initialization Sequence Completed significa que a inicialización rematou, non que deba esperar a que volva un indicador. Unha interface gráfica de escritorio agocha ese traballo prolongado tras unha xanela, e por iso mesmo a xente espera que o comando SSH se comporte igual. Non o fai.

Comprobe o acceso da aplicación por separado. Un terminal ocupado e unha liña de rexistro non demostran nin o éxito nin o fracaso.

Que necesita un servizo sen supervisión

Un servizo arrinca coa súa propia conta, o seu propio directorio de traballo e as súas propias restricións de sistema de ficheiros, e todo iso difire da súa shell. Use rutas explícitas e unha propiedade axeitada en lugar de confiar en onde estaba vostede nese momento. Dea á unidade unha política de reinicio que realmente queira, porque un bucle de conexión sen retroceso enche un rexistro e irrita ao par. Logo verifique que sobe tras un reinicio e non tras o seu seguinte inicio de sesión.

O MFA interactivo rompe o caso sen supervisión por deseño. Se o perfil necesita un código escrito por unha persoa, non é un servizo sen supervisión, e un código dun só uso almacenado non é un deseño de credenciais. Decídao a propósito en lugar de descubrilo no arrinque.

As credenciais son catro entradas distintas

O manual de OpenVPN separa a entrada de consola, os ficheiros de credenciais, as frases de contrasinal de clave privada e a interacción dirixida pola xestión. Un par de usuario e contrasinal é unha cousa, e a frase de contrasinal dunha clave cifrada é outra. Unha interface de xestión que fornece credenciais a petición é a terceira. Escolla o mecanismo que encaixa co seu deseño de autenticación en lugar de concatenar todo nun só ficheiro porque iso funcionou unha vez.

Protexa os perfís e os rexistros que levan identidade ou material privado. Léxos a conta de servizo, e tamén calquera coa pertenza ao grupo correcta.

Un propietario, e unha vía de retorno

Conserve a súa vía de administración SSH antes de habilitar unha ruta de túnel ampla. Unha configuración de túnel completo cun extremo que morre pode deixar a máquina inalcanzable, e a reparación entón esixe unha consola que vostede non preparou. Unha consola fóra de banda aprobada ou unha política deliberada de retorno de xestión é o seguro.

Escolla un único propietario da configuración para a operación rutineira. Un servizo automático e un proceso en primeiro plano que compiten polas mesmas interfaces, rutas e estado do resolutor producen fallos que parecen un problema do provedor. Deteña unha execución supervisada coa súa interrupción normal, e unha xestionada a través do seu xestor en lugar de matar todos os procesos chamados openvpn.

A distinción que convén anotar é simple: unha execución supervisada pode depender da súa sesión, e un servizo sen supervisión non.