OpenVPN ללא ממשק: הפעלה בפיקוח או שירות מנוהל
הפעלת OpenVPN דרך SSH היא שינוי ברשת המרוחקת. בחרו הפעלה בפיקוח או שירות בבעלותכם, והכינו פרטי התחברות ודרך חזרה.
הפעלת OpenVPN דרך SSH מפעילה אותו במכונה המרוחקת, בהקשר ההרצה של אותה מכונה. זה הופך אותו לשינוי ברשת המרוחקת ולא ללחיצת כפתור מרחוק. שני המצבים ההגיוניים הם הפעלה חזיתית בפיקוח ושירות בבעלותכם, ויש להם הכנה שונה, פרטי התחברות שונים והתנהגות כשל שונה.
שני מצבים, פרופיל אחד
שני המצבים צורכים אותו פרופיל ושניהם משנים את הניתוב במארח. מה ששונה הוא מי נוכח כשזה מתחיל, ומה קורה אחרי שההפעלה מסתיימת.
| Mode | Useful for | What it needs |
|---|---|---|
| Supervised foreground session | A connection with a human watching and able to type | A usable terminal, a reviewed profile and recovery access |
| Managed service | An unattended lifecycle that starts without a login | Owned configuration, supported credential delivery and restart policy |
מצב החזית מיועד לחיבור בפיקוח שבו מישהו נוכח. מצב השירות מיועד לחיבור שאמור לעלות בלי שאף אחד מחובר. ערבוב של השניים, כלומר השארת תהליך חזיתי פועל ובמקביל הפעלת שירות על אותו פרופיל, הוא התקלה הנפוצה ביותר שאדם גורם לעצמו כאן.
מהי באמת ההפעלה החזיתית
תהליך OpenVPN חזיתי אמור להמשיך לרוץ כל עוד המנהרה פעילה. Initialization Sequence Completed פירושו שהאתחול הסתיים, לא שכדאי להמתין לחזרת שורת הפקודה. ממשק גרפי שולחני מסתיר את העבודה הארוכה הזו מאחורי חלון, וזו בדיוק הסיבה שאנשים מצפים שפקודת ה-SSH תתנהג באותו אופן. היא לא.
בדקו את הגישה של האפליקציה בנפרד. מסוף תפוס ושורת יומן אחת לא מוכיחים הצלחה ולא כישלון.
מה שירות ללא השגחה צריך
שירות מתחיל עם החשבון שלו, ספריית העבודה שלו ומגבלות מערכת הקבצים שלו, וכל אלה שונים מה-shell שלכם. השתמשו בנתיבים מפורשים ובבעלות מתאימה במקום להסתמך על היכן שבדיוק עמדתם. תנו ליחידה מדיניות אתחול מחדש שאתם באמת רוצים, כי לולאת חיבור בלי השהיה ממלאת יומן ומרגיזה את הצד השני. לאחר מכן ודאו שהוא עולה אחרי אתחול ולא אחרי ההתחברות הבאה שלכם.
MFA אינטראקטיבי שובר את המקרה ללא השגחה כבר בתכנון. אם הפרופיל דורש קוד שאדם מקליד, זה אינו שירות ללא השגחה, וקוד חד-פעמי שמור אינו תכנון פרטי התחברות. החליטו על כך במכוון במקום לגלות זאת באתחול.
פרטי התחברות הם ארבעה קלטים שונים
ל-OpenVPN יש מדריך שמפריד בין קלט מסוף, קובצי פרטי התחברות, סיסמאות מפתח פרטי ואינטראקציה שמנוהלת על ידי הממשק לניהול. צמד שם משתמש וסיסמה הוא דבר אחד, וסיסמת מפתח מוצפן היא דבר אחר. ממשק ניהול שמספק פרטי התחברות לפי דרישה הוא השלישי. בחרו במנגנון שמתאים לתכנון האימות שלכם במקום לשרשר הכול לקובץ אחד כי זה עבד פעם אחת.
הגנו על הפרופילים והיומנים שנושאים זהות או חומר פרטי. חשבון השירות קורא אותם, וכך גם כל מי שיש לו חברות בקבוצה הנכונה.
בעלים אחד, ודרך חזרה
שמרו על נתיב הניהול שלכם ב-SSH לפני הפעלת מסלול מנהרה רחב. תצורת מנהרה מלאה עם נקודת קצה שמתה עלולה להשאיר את המכונה בלתי נגישה, והתיקון אז דורש קונסולה שלא הכנתם. קונסולה חוץ-פסית מאושרת או מדיניות חזרה מכוונת לניהול היא פוליסת הביטוח.
בחרו בעלים אחד לתצורה עבור התפעול השוטף. שירות אוטומטי ותהליך חזיתי שמתחרים על אותם ממשקים, מסלולים ומצב פותר מייצרים תקלות שנראות כמו בעיית ספק. עצרו הפעלה בפיקוח עם ההפסקה הרגילה שלה, והפעלה מנוהלת דרך המנהל שלה במקום להרוג כל תהליך בשם openvpn.
ההבחנה שכדאי לרשום פשוטה: הפעלה בפיקוח עשויה להיות תלויה בהפעלה שלכם, ושירות ללא השגחה לא.