Stjórnunarsokket OpenVPN: stýrirás, ekki mælieiningar

Spurðu stjórnunarviðmótið um stöðu einu sinni og það byrjar að líkjast stöðuhliði. Það er það ekki. Þegar þjónn hefur verið tekinn inn getur hann gefið út stýriskipanir samskiptareglunnar, og reikningurinn sem keyrir þann þjón erfir allt sem þessar skipanir geta gert við daemoninn. Að meðhöndla það sem skrifvarinn straum er mistakið sem breytir vöktunarinnleiðingu í stjórnborð án auðkenningar.

Trúin, og hvað hún kostar

Trúin er sú að stjórnunarhlustandinn jafngildi mælieiningaendapunkti: tengdu safnara, lestu teljarana og haltu áfram. Það sem raunverulega gerist er að safnarinn opnar setu með stýrimöguleikum, og hver önnur forsenda sem þú gerðir um uppsetninguna veltur nú á því að þessi safnari hagi sér vel.

Ekkert í viðmótinu auglýsir skrifvariða stillingu. Það er ekkert áhorfendahlutverk til að velja, og notandanafn í stillingunni býr það ekki til.

Hvað viðtekinn þjónn heldur í raun

Samfélagsdaemoninn tekur við aðeins einum virkum stjórnunarþjóni í einu. Eitt pláss þýðir að GUI, skrift og vöktunarþjónn geta ekki allir tengst; sá seinni bíður eða mistekst á meðan sá fyrri heldur setunni. Ef hönnunin þín gerir ráð fyrir samtímis lesendum er hún þegar röng.

Þar sem regluleg skyndimynd nægir gefur úttak stöðuskrárinnar sömu tölur án lifandi setu. Að skrifa þá skrá með hléum og lesa hana með venjulegum skráarheimildum heldur safnaranum algjörlega utan stýrisviðsins, og það er fyrirkomulagið sem flest vöktun þarf í raun.

Eigið sokket, ekki opið

Unix-lénsokket heldur stýrislóðinni utan netsins, sem fjarlægir breytilegt túnelheiti úr vandanum. Það fjarlægir ekki spurninguna um heimildir. Yfirmöppurnar verða að vera skrifanlegar af þjónustureikningnum og aðgengilegar fyrir reikning stýritækisins, og það eru tvær aðskildar heimildir:

management /run/openvpn/office-management.sock unix /etc/openvpn/management.password
management-client-user vpn-observer
management-client-group vpn-observer

Lykilskráin ber stjórnunarleyndarmálið á fyrstu línu sinni. Verja skal þá skrá eins og hver önnur auðkenni, og halda innihaldi hennar utan logs og stuðningsmiða. Takmarkanir notanda og hóps eru jafningjaprófanir á Unix-sokkinu, ekki skráarkerfisheimildir, þannig að ætlað ferli þarf bæði skráaraðgang og samsvarandi auðkenni.

Að gera sokkið aðgengilegt öllum heiminum til að hreinsa heimildarvillu er eina leiðréttingin sem forðast á. Það breytir staðbundinni stýrirás í eitthvað sem hvert ferli á vélinni getur stýrt.

Að birta það yfir TCP er ekki sama hönnun

Að flytja hlustandann á TCP-gátt gerir hann ekki öruggari né þægilegri. Stjórnunarlykilorðið er sent í skýru, þannig að TCP-hlustandi afhjúpar bæði auðkennið og setuna fyrir hverjum sem getur fylgst með slóðinni. Að ná í hann frá annarri vél krefst heimilaðrar stjórnunarrásar, eða lítils staðbundins umboðsmanns sem sýnir aðeins þær athuganir sem þú þarft.

Lykilorð á flutningi í skýru er auðkenning án trúnaðar, og sú samsetning er verri en hún lítur út fyrir því hún virðist vernduð.

Ræsingarsjálfstæði sem þú baðst ekki um

Nokkrir stjórnunarvalkostir breyta lífsferli daemonsins. Að halda ræsingu þar til stýritæki tengist, eða stöðva þegar stýritækið hverfur, gerir valfrjálsan áhorfanda að harðri ósjálfstæði. Vöktunarþjónn sem hrynur myndi þá taka túnelinn með sér niður.

Farðu yfir þessa valkosti áður en þú virkjar nokkuð umfram sokkið sjálft. Valfrjáls athugun á að vera valfrjáls, og endurræsingarstefna á ekki að vera tengd safnara sem var bætt við fyrir gröf.

Sokkskrá sem er skilin eftir eftir misheppnað ferli er ekki sönnun þess að hlustandi sé til. Finndu út hvaða tilvik á slóðina áður en þú fjarlægir hana, og notaðu eigið endurheimtarferli þjónustunnar í stað þess að eyða skrám undir keyrandi daemon.

Hvernig viðtaka lítur út

Fjórar prófanir ná yfir hönnunina: ætlað auðkenni stýritækisins tengist, ferli án þess auðkennis er hafnað, daemoninn lifir af stýritæki sem aftengist án viðvörunar, og túnelinn flytur enn umferð í gegnum stýrða endurræsingu. Árangursrík stjórnunartenging sannar aðeins stýrisviðið. Hún segir ekkert um hvort umferð einkasamskipta virki, svo prófaðu það sérstaklega. Skrifaðu niður fjórar niðurstöður þar sem næsti rekstraraðili getur fundið þær.

Skjölun stjórnunarviðmótsins lýsir einn-þjóns líkaninu og forgangsréttareðli samskiptareglunnar, og það er hlutinn sem er þess virði að lesa áður en þú beinir mælaborði að því.