Skrifta VPN-biðlara: veldu lagið fyrir lykilorðið

Skriftur ræsa VPN-biðlara á því lagi sem höfundurinn valdi, og það lag er sjaldan það sem verkið þurfti. Skipanalína framleiðandans, upphringing stýrikerfisins og app-ásetningur í farsíma koma öll til baka á mismunandi stöðum í lífi tengingarinnar. Þau meðhöndla líka leyndarmálið á mismunandi hátt, og sá munur ræður því hvort lykilorðið er sýnilegt hverjum notanda á vélinni. Veldu lagið áður en þú skrifar fyrstu línu skriftunnar.

Lag 1: skipanalína framleiðandans

Flestir skjáborðsbiðlarar bjóða skipanalínu sem tekur við sniðsheiti og, allt of oft, lykilorði. Gamli biðlari Cisco tók við connect-sögn með notanda- og lykilorðsviðföngum; macOS birtir innbyggðu þjónustuna gegnum networksetup; NetworkManager svarar nmcli. Þessi köll koma til baka þegar skipunin er búin, sem er ekki sami tímapunktur og sá þegar göngin verða nothæf. Lestu eigin skjöl framleiðandans fyrir þá útgáfu sem þú setur upp, því þessi viðmót breytast og sum eru fjarlægð alveg.

nmcli connection up "Work VPN"
networksetup -connectpppoeservice "Work VPN"

Kosturinn er að framleiðandinn þekkir eigið sniðsgeymslu, svo kallið notar sömu stillingar og GUI-ið myndi gera. Gallinn er að hver framleiðandi finnur upp sín eigin sagnir, og skrifta sem er skrifuð fyrir einn biðlara flyst ekki yfir á annan. Líttu á þetta lag sem stystu leiðina þegar biðlarinn er fastur og útgáfan er fest.

Lag 2: eigin þjónusta stýrikerfisins

Á Windows er upphringingin hluti stýrikerfisins, og hún vinnur gegn færslu í símaskrá í stað sniðsgeymslu framleiðandans. Það gerir hana flytjanlegri milli biðlara og auðveldari að skrifta frá þjónustureikningi. Það þýðir líka að tengingin getur verið á einum stað en ekki hinum, sem ruglar fólk sem leitar í röngum lista.

rasdial "Work VPN" user pass
Get-VpnConnection -Name "Work VPN" | Select-Object ConnectionStatus

Notaðu PowerShell-flötinn þegar þú þarft að búa til eða fjarlægja færsluna í stað þess að hringja. WMI- og cmdlet-lögin bjóða sömu hluti undir mismunandi nöfnum, og fjarlæging er aðskilin aðgerð frá aftengingu. Skrifta sem bara hringir skilur eftir úreltar færslur eftir flutning. Athugaðu í hvaða geymslu sjálfvirknin þín skrifar áður en þú lofar að hreinsunin eigi sér stað.

Remove-VpnConnection -Name "Old VPN" -Force
Get-VpnConnection

Á macOS er hliðstæðan listi yfir netþjónustur, þar sem fyrirliggjandi þjónusta er tengd eftir nafni í stað þess að vera búin til á staðnum.

Innskráningargögn leka á hverju lagi, svo veldu rásina

Allt sem þú sendir á skipanalínunni birtist í ferlaskránni fyrir hvern staðbundinn notanda, og það lifir venjulega einnig í skeljasögunni. Stuðlaður valkostur OpenVPN er að lesa leyndarmálið úr skrá með --askpass, og skráin sjálf þarf heimildir sem passa við það traust sem þú leggur á hana. Nafngreint pípa kemur í veg fyrir að leyndarmálið sé skrifað á disk en leyfir hvaða ferli sem getur opnað hana að skrifa þar. Á Windows skaltu geyma leyndarmálið í skilríkjastjóranum, eða í skrá sem aðeins þjónustureikningurinn getur lesið, og aldrei sem bókstaf í batch-skrá.

openvpn --config /etc/openvpn/work.conf --askpass /etc/openvpn/work.secret --auth-nocache --daemon
ls -l /etc/openvpn/work.secret

Sama regla gildir um tákn og einnota kóða: ef sjálfvirknin þarf þau þarf sjálfvirknin rás sem er ekki skipanalínuviðfang. Snúðu leyndarmálinu þegar þú breytir fyrirkomulaginu, því gamla gildið hefur setið einhvers staðar í annál. Skrifta sem virkar og lekur er ekki virk skrifta.

Biddu eftir stöðu, hafðu síðan eftirlit með einum eiganda

Hvert þessara kalla kemur til baka áður en göngin eru tilbúin, svo kannaðu stöðuna sem biðlarinn birtir eða prófaðu áfangastað innan hennar með tímatakmörkun. Að afrita skrár eða opna gagnagrunnstengingu strax eftir tengikallið er hlaup, og það mistekst með hléum á þann hátt að það lítur út eins og netbilun.

ip link show tun0
nmcli -t -f GENERAL.STATE connection show "Work VPN"
curl -sS --max-time 5 https://app.internal.example/health -o /dev/null

Aftenging hefur sama vandamál í öfuga átt: ferlið getur hætt áður en leiðirnar eru horfnar. Notaðu króka biðlarans þar sem þeir eru til, eins og up- og down-skrifturnar í OpenVPN eða ExecStartPost í systemd-einingu, því þeir keyra á þeim punkti sem þér er raunverulega annt um. Krókar keyra með réttindum þess sem kallaði á þá, svo krókur sem endurræsir net þarf skýra reglu í stað ráðgátu. Haltu nákvæmlega einum eiganda fyrir líftíma tengingarinnar.

Þegar tveir eftirlitsaðilar ræsa og stöðva sama snið, er niðurstaðan endurtengingarlykkja sem les eins og bilun hjá þjónustuveitanda. Runbookið endar þegar lagið er skjalfest, leyndarmálið hefur rás sem er ekki argv, biðskilyrðið er stöðuathugun með tímatakmörkun og eitt ferli á lífsferilinn.