אילו תפקידי תוכנה זקוקה להם שער OpenVPN ללא מסך

מכונה המוקדשת לשער OpenVPN זקוקה להתקנת שרת נתמכת ולתוכנה למשימות שהיא באמת מבצעת. תפריט התקנה שמציע SSH, אחסון אתרים ותפקידי שרת אחרים אינו רשימת דרישות מוקדמות של OpenVPN. פריסה ללא מסך היא סבירה לחלוטין. החשוב הוא להפריד שלוש משימות: לשאת את המנהרה, לנהל את המארח ולהנפיק אישורים.

זהו סדר המלאי שבו אני משתמש, עם הבדיקה שסוגרת כל שלב.

1. תנו לשירות המנהרה חבילה ופרופיל משל עצמו

מדריך שרת OpenVPN של אובונטו משתמש בחבילת openvpn של ההפצה עם שורת פקודה ותצורת שירות. אותה חבילה משמשת כלקוח לינוקס, והתצורה בוחרת את התפקיד.

פירוש הדבר שהתקנת ממשק גרפי של לקוח אינה מה שהופך את המארח לשרת, והסרתו אינה מה שעושה אותו נטול מסך. תעדו איזה פרופיל קוראת ההפעלה הרצה, כי קובץ תצורה שני באותה תיקייה יכול להיטען בלי שאיש ישים לב, והדמון מדווח על הצלחה בכל מקרה. כאשר קיימים שני פרופילים, מנהל השירותים מחליט מי מנצח, וההחלטה הזו שייכת להערות שלכם ולא לניחוש.

2. החליטו על נתיב הניהול לפני המנהרה

OpenSSH מגיע מחבילת openssh-server נפרדת ורץ כשירות משל עצמו. הוא שימושי כאשר מנהל צריך להגיע למכונה דרך SSH, אבל OpenVPN אינו זקוק לשרת SSH כדי להחליף חבילות VPN. קונסולה מקומית או ערוץ ניהול פלטפורמה מאושר הם נתיב תקף אחר. החליטו על איזה מהם אתם נשענים לפני שתשנו ניתוב או סינון, כי מנהרה חדשה לעולם לא אמורה להיות הדרך היחידה שאינה נבדקה לתקן את עצמה.

3. הנפיקו אישורים מהבעלים המאושר

הדוגמה של אובונטו מתקינה easy-rsa לצד OpenVPN כדי לבנות PKI קטן, וזהו תפקיד הנפקת אישורים ולא שירות מנהרה פועל. אם לארגון כבר יש תהליך הנפקה מאושר, השתמשו בו במקום ליצור CA לא קשור רק מפני שמדריך כולל אחד. שמרו את המפתח הפרטי והתעודה של השער בנפרד ממפתח החתימה של ה-CA, ובחרו בכוונה את מיקום החתימה והגיבוי. העתקת כל קובץ PKI לכל מארח אינה דרישת תוכנה.

4. השאירו תוספי שולחן עבודה לשולחנות עבודה

לעורך NetworkManager או לתוסף ייבוא יש תכלית במכונה שמשתמשת בזרימת העבודה הזו. זו אינה תכונת שרת נוספת שנדרשת מפני שהשער מדבר OpenVPN.

בחרו בעלים אחד לחיבור, ואל תפעילו עותק שני של אותו פרופיל שמנוהל משולחן העבודה.

5. קבלו את השער עם לקוח אמיתי

פחות חבילות אינה שער גמור. השרת עדיין זקוק למאזין מאושר, זהויות, נתיבים, העברה במקום שנדרש, מדיניות חומת אש צרה ונתיב החזרה המיועד. רשמו היכן מופיעים היומנים שלו וכיצד מיושמים עדכונים, כי שתי התשובות האלה קובעות כיצד תאובחן תקלה בהמשך.

לתכנון יציאה לאינטרנט ולתכנון גישה לרשת פרטית יש דרישות העברה שונות, אז החליטו איזה מהם אתם בונים לפני שתפתחו משהו. העלו לקוח מאושר אחד ובדקו את המשאב המיועד ולא את מחוון המנהרה. אחר כך הפעילו מחדש את השירות באופן מבוקר ואמתו את נתיב האתחול ללא השגחה, כי שער שעולה רק כשמישהו מסתכל עדיין לא נפרס.