OpenVPN tanpa antarmuka: sesi terawasi atau layanan terkelola

Menjalankan OpenVPN lewat SSH memulainya di mesin jarak jauh, dalam konteks eksekusi mesin itu. Itu menjadikannya perubahan jaringan jarak jauh, bukan sekadar menekan tombol dari jauh. Dua mode yang masuk akal adalah sesi latar depan terawasi dan layanan milik sendiri, dan keduanya punya persiapan, kredensial, dan perilaku kegagalan yang berbeda.

Dua mode, satu profil

Kedua mode memakai profil yang sama dan keduanya mengubah perutean pada host. Yang berbeda adalah siapa yang hadir saat mulai, dan apa yang terjadi setelah sesi berakhir.

Mode latar depan untuk koneksi terawasi yang ada orang hadir. Mode layanan untuk koneksi yang seharusnya naik tanpa ada orang yang login. Mencampur keduanya, dengan membiarkan proses latar depan berjalan sambil mengaktifkan layanan pada profil yang sama, adalah kerusakan yang paling umum disebabkan sendiri di sini.

Apa sebenarnya sesi latar depan itu

Proses OpenVPN latar depan seharusnya terus berjalan selama terowongan aktif. Initialization Sequence Completed berarti inisialisasi selesai, bukan bahwa Anda harus menunggu prompt kembali. GUI desktop menyembunyikan pekerjaan panjang itu di balik jendela, dan itulah sebabnya orang mengharapkan perintah SSH berperilaku sama. Ia tidak.

Periksa akses aplikasi secara terpisah. Terminal yang terpakai dan satu baris log tidak membuktikan keberhasilan maupun kegagalan.

Apa yang dibutuhkan layanan tanpa pengawasan

Layanan mulai dengan akunnya sendiri, direktori kerja sendiri, dan batasan sistem berkas sendiri, dan semuanya berbeda dari shell Anda. Gunakan jalur eksplisit dan kepemilikan yang tepat alih-alih mengandalkan di mana Anda kebetulan berdiri. Beri unit kebijakan mulai ulang yang benar-benar Anda inginkan, karena lingkar koneksi tanpa jeda mengisi log dan mengganggu rekan. Lalu pastikan ia naik setelah reboot, bukan setelah login Anda berikutnya.

MFA interaktif merusak kasus tanpa pengawasan secara desain. Jika profil memerlukan kode yang diketik orang, itu bukan layanan tanpa pengawasan, dan kode sekali pakai yang disimpan bukanlah desain kredensial. Putuskan itu dengan sengaja alih-alih menemukannya saat boot.

Kredensial adalah empat masukan berbeda

Buku panduan OpenVPN memisahkan masukan konsol, berkas kredensial, frasa sandi kunci privat, dan interaksi yang digerakkan manajemen. Pasangan nama pengguna dan kata sandi adalah satu hal, dan frasa sandi kunci terenkripsi adalah hal lain. Antarmuka manajemen yang menyediakan kredensial berdasarkan permintaan adalah yang ketiga. Pilih mekanisme yang cocok dengan desain autentikasi Anda alih-alih merangkai semuanya ke satu berkas karena itu kebetulan berhasil sekali.

Lindungi profil dan log yang membawa identitas atau materi pribadi. Akun layanan membacanya, begitu juga siapa pun dengan keanggotaan grup yang tepat.

Satu pemilik, dan jalur kembali

Pertahankan jalur administrasi SSH Anda sebelum mengaktifkan rute terowongan yang luas. Konfigurasi terowongan penuh dengan titik akhir yang mati dapat membuat mesin tak terjangkau, dan perbaikannya lalu membutuhkan konsol yang tidak Anda siapkan. Konsol luar pita yang disetujui atau kebijakan kembali manajemen yang disengaja adalah asuransinya.

Pilih satu pemilik konfigurasi untuk operasi rutin. Layanan otomatis dan proses latar depan yang bersaing atas antarmuka, rute, dan status resolver yang sama menghasilkan kegagalan yang tampak seperti masalah penyedia. Hentikan jalannya sesi terawasi dengan interupsi normalnya, dan yang terkelola lewat manajernya alih-alih membunuh setiap proses bernama openvpn.

Perbedaan yang perlu dicatat sederhana: jalannya sesi terawasi boleh bergantung pada sesi Anda, dan layanan tanpa pengawasan tidak boleh.