हेडलेस OpenVPN गेटवे को कौन-सी सॉफ़्टवेयर भूमिकाएँ चाहिए

केवल OpenVPN गेटवे के लिए समर्पित मशीन को एक समर्थित सर्वर इंस्टॉल और उन कामों के लिए सॉफ़्टवेयर चाहिए जो वह वास्तव में करती है। SSH, वेब होस्टिंग और अन्य सर्वर भूमिकाएँ देने वाला इंस्टॉलर मेन्यू OpenVPN की पूर्व-आवश्यकताओं की सूची नहीं है। हेडलेस परिनियोजन पूरी तरह उचित है। महत्वपूर्ण बात तीन कामों को अलग करना है: टनल ढोना, होस्ट का प्रशासन करना और क्रेडेंशियल जारी करना।

यह वह इन्वेंटरी क्रम है जो मैं उपयोग करता हूँ, साथ में हर चरण को पूरा करने वाली जाँच।

1. टनल सेवा को उसका अपना पैकेज और प्रोफ़ाइल दें

उबंटू की OpenVPN सर्वर मार्गदर्शिका डिस्ट्रिब्यूशन के openvpn पैकेज का उपयोग कमांड लाइन और सेवा कॉन्फ़िगरेशन के साथ करती है। वही पैकेज Linux क्लाइंट के रूप में काम करता है, और भूमिका कॉन्फ़िगरेशन चुनता है।

इसका अर्थ है कि क्लाइंट GUI इंस्टॉल करना होस्ट को सर्वर नहीं बनाता, और उसे हटाना ही उसे हेडलेस नहीं बनाता। दर्ज करें कि चल रहा इंस्टेंस कौन-सी प्रोफ़ाइल पढ़ता है, क्योंकि उसी फ़ोल्डर में दूसरी कॉन्फ़िगरेशन फ़ाइल किसी को पता चले बिना लोड हो सकती है, और डेमन दोनों स्थितियों में सफलता बताता है। जब दो प्रोफ़ाइल हों, तो सेवा प्रबंधक तय करता है कि कौन जीतेगा, और वह निर्णय अनुमान में नहीं, आपके नोट्स में होना चाहिए।

2. टनल से पहले प्रशासन पथ तय करें

OpenSSH अलग openssh-server पैकेज से आता है और अपनी सेवा के रूप में चलता है। यह तब उपयोगी है जब किसी प्रशासक को SSH से मशीन तक पहुँचना हो, पर OpenVPN को VPN पैकेटों का आदान-प्रदान करने के लिए SSH सर्वर की आवश्यकता नहीं है। स्थानीय कंसोल या स्वीकृत प्लेटफ़ॉर्म प्रबंधन चैनल दूसरा वैध पथ है। रूटिंग या फ़िल्टरिंग बदलने से पहले तय करें कि आप किस पर भरोसा करते हैं, क्योंकि नई टनल को कभी भी स्वयं को ठीक करने का एकमात्र अपरीक्षित तरीका नहीं होना चाहिए।

3. स्वीकृत स्वामी से क्रेडेंशियल जारी करें

उबंटू का उदाहरण छोटा PKI बनाने के लिए OpenVPN के साथ easy-rsa इंस्टॉल करता है, जो चल रही टनल सेवा नहीं बल्कि क्रेडेंशियल जारी करने की भूमिका है। यदि संगठन के पास पहले से स्वीकृत जारी करने की प्रक्रिया है, तो ट्यूटोरियल में एक है इसलिए असंबंधित CA बनाने के बजाय उसका उपयोग करें। गेटवे की अपनी निजी कुंजी और प्रमाणपत्र को CA हस्ताक्षर कुंजी से अलग रखें, और हस्ताक्षर तथा बैकअप का स्थान सोच-समझकर चुनें। हर PKI फ़ाइल को हर होस्ट पर कॉपी करना सॉफ़्टवेयर आवश्यकता नहीं है।

4. डेस्कटॉप प्लगइन डेस्कटॉप के लिए छोड़ दें

NetworkManager संपादक या आयात प्लगइन का उस मशीन पर उद्देश्य है जो वह कार्यप्रवाह उपयोग करती है। यह अतिरिक्त सर्वर सुविधा नहीं है जो इसलिए चाहिए क्योंकि गेटवे OpenVPN बोलता है।

कनेक्शन के लिए एक स्वामी चुनें, और उसी प्रोफ़ाइल की दूसरी, डेस्कटॉप-प्रबंधित प्रति शुरू न करें।

5. वास्तविक क्लाइंट से गेटवे स्वीकार करें

कम पैकेज पूरा गेटवे नहीं है। सर्वर को अब भी स्वीकृत श्रोता, पहचान, रूट, जहाँ आवश्यक हो फ़ॉरवर्डिंग, सँकरी फ़ायरवॉल नीति और इच्छित वापसी पथ चाहिए। लिखें कि उसके लॉग कहाँ दिखते हैं और अपडेट कैसे लागू होते हैं, क्योंकि वे दो उत्तर ही तय करते हैं कि बाद में विफलता का निदान कैसे होगा।

इंटरनेट-निर्गम डिज़ाइन और निजी-नेटवर्क-पहुँच डिज़ाइन की फ़ॉरवर्डिंग आवश्यकताएँ भिन्न हैं, इसलिए कुछ भी खोलने से पहले तय करें कि आप कौन-सा बना रहे हैं। एक स्वीकृत क्लाइंट चालू करें और टनल संकेतक के बजाय इच्छित संसाधन जाँचें। फिर नियंत्रित ढंग से सेवा पुनः आरंभ करें और बिना निगरानी वाला स्टार्टअप पथ पुष्टि करें, क्योंकि केवल तभी ऊपर आने वाला गेटवे, जब कोई देख रहा हो, अभी परिनियोजित नहीं है।