Fej nélküli OpenVPN: felügyelt munkamenet vagy kezelt szolgáltatás

A OpenVPN SSH-n keresztüli futtatása a távoli gépen indítja el, annak a gépnek a végrehajtási környezetében. Ez a távoli hálózat módosításává teszi, nem távoli gombnyomássá. A két ésszerű mód a felügyelt előtér-munkamenet és a saját szolgáltatás, és eltérő az előkészítésük, a hitelesítő adataik és a hibaviselkedésük.

Két mód, egy profil

Mindkét mód ugyanazt a profilt használja, és mindkettő módosítja a hoszt útválasztását. Az a különbség, hogy ki van jelen az indításkor, és mi történik a munkamenet vége után.

Az előtér-mód a felügyelt kapcsolathoz való, ahol valaki jelen van. A szolgáltatás-mód olyan kapcsolathoz való, amelynek bejelentkezés nélkül kell feljönnie. A kettő keverése, azaz egy előtér-folyamat futva hagyása mellett ugyanazon a profilon egy szolgáltatás engedélyezése, itt a leggyakoribb saját magunk okozta hiba.

Mi is valójában az előtér-munkamenet

Az előtérben futó OpenVPN-folyamatnak tovább kell futnia, amíg az alagút áll. Initialization Sequence Completed azt jelenti, hogy az inicializálás befejeződött, nem azt, hogy a parancssor visszatérésére kellene várni. Az asztali grafikus felület egy ablak mögé rejti ezt a hosszú munkát, és épp ezért várják az emberek, hogy az SSH-parancs ugyanígy viselkedjen. Nem viselkedik így.

Ellenőrizze külön az alkalmazás hozzáférését. Egy foglalt terminál és egy naplósor sem a sikert, sem a kudarcot nem bizonyítja.

Mire van szüksége egy felügyelet nélküli szolgáltatásnak

A szolgáltatás saját fiókkal, munkakönyvtárral és fájlrendszer-korlátozásokkal indul, és ezek mind eltérnek a héjától. Használjon kifejezett útvonalakat és megfelelő tulajdonjogot ahelyett, hogy arra hagyatkozna, ahol épp állt. Adjon az egységnek olyan újraindítási szabályzatot, amilyet valóban szeretne, mert a visszalépés nélküli kapcsolódási hurok megtölti a naplót és bosszantja a partnert. Ezután ellenőrizze, hogy újraindítás után jön fel, és nem a következő bejelentkezése után.

Az interaktív MFA tervezésénél fogva töri meg a felügyelet nélküli esetet. Ha a profil ember által beírt kódot igényel, az nem felügyelet nélküli szolgáltatás, és a tárolt egyszeri kód nem hitelesítő adat-terv. Döntse el ezt szándékosan, ahelyett hogy a rendszerindításkor fedezné fel.

A hitelesítő adatok négy különböző bemenet

Az OpenVPN kézikönyve szétválasztja a konzolbemenetet, a hitelesítő adatfájlokat, a titkos kulcs jelszavait és a felügyelet által vezérelt interakciót. A felhasználónév és jelszó pár egy dolog, a titkosított kulcs jelszava pedig egy másik. A kérésre hitelesítő adatokat adó felügyeleti felület a harmadik. Olyan mechanizmust válasszon, amely illik a hitelesítési tervéhez, ahelyett hogy mindent egy fájlba fűzne, mert az egyszer működött.

Védje azokat a profilokat és naplókat, amelyek személyazonosságot vagy magánanyagot hordoznak. A szolgáltatásfiók olvassa őket, és mindenki, aki a megfelelő csoporttagsággal rendelkezik.

Egy tulajdonos, és egy visszaút

Őrizze meg az SSH-adminisztrációs útvonalát, mielőtt széles alagút-útvonalat engedélyez. A teljes alagút konfigurációja olyan végponttal, amely meghal, elérhetetlenné teheti a gépet, és a javítás akkor olyan konzolt igényel, amelyet nem készített elő. Egy jóváhagyott sávon kívüli konzol vagy egy szándékos felügyelet-visszatérési szabályzat a biztosítás.

Válasszon egyetlen konfigurációs tulajdonost a rutinműködéshez. Az automatikus szolgáltatás és az előtér-folyamat, amely ugyanazokért az interfészekért, útvonalakért és feloldó állapotáért verseng, olyan hibákat okoz, amelyek szolgáltatói problémának tűnnek. Állítsa le a felügyelt futást a szokásos megszakításával, a kezeltet pedig a kezelőjén keresztül, ahelyett hogy minden openvpn nevű folyamatot megölne.

A leírandó különbség egyszerű: a felügyelt futás függhet a munkamenetétől, a felügyelet nélküli szolgáltatás pedig nem.