Milyen szoftverszerepekre van szüksége egy képernyő nélküli OpenVPN-átjárónak

Az OpenVPN-átjárónak szentelt gépnek támogatott kiszolgálótelepítésre és a ténylegesen elvégzett feladatokhoz szükséges szoftverre van szüksége. Az olyan telepítőmenü, amely SSH-t, webhosztingot és más kiszolgálói szerepeket kínál, nem az OpenVPN előfeltételeinek listája. A képernyő nélküli telepítés teljesen ésszerű. A lényeg három feladat szétválasztása: az alagút szállítása, a gazdagép felügyelete és a hitelesítő adatok kiállítása.

Íme a leltározási sorrend, amelyet használok, azzal az ellenőrzéssel, amely lezár minden lépést.

1. Adjon az alagút-szolgáltatásnak saját csomagot és profilt

Az Ubuntu OpenVPN-kiszolgáló útmutatója a disztribúció openvpn csomagját használja parancssorral és szolgáltatáskonfigurációval. Ugyanaz a csomag Linux-kliensént is szolgál, és a szerepet a konfiguráció választja ki.

Ez azt jelenti, hogy az ügyfél GUI telepítése nem az, ami kiszolgálóvá teszi a gazdagépet, és az eltávolítása nem az, ami képernyő nélkülivé teszi. Jegyezze fel, melyik profilt olvassa a futó példány, mert egy második konfigurációs fájl ugyanabban a könyvtárban észrevétlenül betöltődhet, és a démon mindkét esetben sikert jelent. Ha két profil létezik, a szolgáltatáskezelő dönti el, melyik nyer, és ez a döntés a jegyzeteibe tartozik, nem egy találgatásba.

2. Döntse el a felügyeleti utat az alagút előtt

Az OpenSSH külön openssh-server csomagból származik, és saját szolgáltatásként fut. Akkor hasznos, ha a rendszergazdának SSH-n kell elérnie a gépet, de az OpenVPN nem igényel SSH-kiszolgálót a VPN-csomagok cseréjéhez. A helyi konzol vagy egy jóváhagyott platformkezelési csatorna másik érvényes út. Döntse el, melyikre támaszkodik, mielőtt az útvonalkezelést vagy a szűrést megváltoztatja, mert egy új alagútnak soha nem szabad az egyetlen ki nem próbált módnak lennie, amellyel önmagát megjavítja.

3. A jóváhagyott tulajdonostól állítson ki hitelesítő adatokat

Az Ubuntu példája az OpenVPN mellé telepíti az easy-rsa-t, hogy kis PKI-t építsen, ami hitelesítő adatok kiállításának szerepe, nem futó alagút-szolgáltatás. Ha a szervezetnek már van jóváhagyott kiállítási folyamata, használja azt ahelyett, hogy független CA-t hozna létre csak azért, mert egy útmutató tartalmaz egyet. Tartsa az átjáró saját titkos kulcsát és tanúsítványát külön a CA aláírókulcsától, és válassza meg tudatosan az aláírás és a biztonsági mentés helyét. Minden PKI-fájl minden gazdagépre másolása nem szoftverkövetelmény.

4. Hagyja az asztali beépülőket az asztaloknak

A NetworkManager-szerkesztőnek vagy az importáló beépülőnek azon a gépen van célja, amely ezt a munkafolyamatot használja. Ez nem további kiszolgálófunkció, amely azért kell, mert az átjáró OpenVPN-t beszél.

Válasszon egy tulajdonost a kapcsolatnak, és ne indítson második, asztalról kezelt másolatot ugyanabból a profilból.

5. Fogadja el az átjárót valódi ügyféllel

Kevesebb csomag nem kész átjáró. A kiszolgálónak továbbra is szüksége van jóváhagyott figyelőre, identitásokra, útvonalakra, szükség esetén továbbításra, szűk tűzfalszabályzatra és a tervezett visszaútra. Írja le, hol jelennek meg a naplói, és hogyan alkalmazzák a frissítéseket, mert ez a két válasz dönti el, hogyan diagnosztizálják később a hibát.

Az internetes kilépés terve és a privát hálózati hozzáférés terve eltérő továbbítási követelményekkel jár, ezért döntse el, melyiket építi, mielőtt bármit megnyit. Indítson el egy jóváhagyott ügyfelet, és a tervezett erőforrást ellenőrizze az alagút jelzője helyett. Ezután indítsa újra a szolgáltatást ellenőrzött módon, és erősítse meg a felügyelet nélküli indítási utat, mert az az átjáró, amely csak akkor jön fel, amikor valaki nézi, még nincs telepítve.