Hvaða hugbúnaðarhlutverk þarf skjálaus OpenVPN-gátt

Vél sem er helguð OpenVPN-gátt þarf studda þjónsuppsetningu og hugbúnaðinn fyrir verkin sem hún framkvæmir í raun. Uppsetningavalmynd sem býður SSH, vefhýsingu og önnur þjónshlutverk er ekki listi yfir forsendur OpenVPN. Uppsetning án skjás er algjörlega eðlileg. Það sem skiptir máli er að aðskilja þrjú verk: að bera göngin, að stjórna hýsilnum og að gefa út skilríki.

Hér er birgðaröðin sem ég nota, ásamt athuguninni sem lokar hverju skrefi.

1. Gefðu gönguþjónustunni eigin pakka og snið

Leiðarvísir Ubuntu fyrir OpenVPN-þjón byggir á openvpn-pakkanum úr dreifingunni með skipanalínu og þjónstillingu. Sami pakki þjónar sem Linux-biðlari, og stillingin velur hlutverkið.

Það þýðir að uppsetning skjáviðmóts biðlara er ekki það sem gerir hýsilinn að þjóni, og að fjarlægja það er ekki það sem gerir hann skjálausan. Skráðu hvaða snið keyrandi eintakið les, því önnur stillingaskrá í sömu möppu getur hlaðist án þess að nokkur taki eftir því, og dæmoninn tilkynnir árangur í báðum tilvikum. Þegar tvö snið eru til, ákveður þjónstjórinn hvor vinnur, og sú ákvörðun á heima í athugasemdum þínum en ekki í ágiskun.

2. Ákveddu stjórnslóðina fyrir göngin

OpenSSH kemur úr sérstökum openssh-server-pakka og keyrir sem eigin þjónusta. Það er gagnlegt þegar stjórnandi á að ná í vélina um SSH, en OpenVPN þarf ekki SSH-þjón til að skiptast á VPN-pökkum. Staðbundin stjórnborð eða samþykkt stjórnleið vettvangs er önnur gild leið. Ákveddu hvorri þú treystir áður en þú breytir leiðvöl eða síun, því ný göng mega aldrei vera eina óprófuða leiðin til að laga sig sjálf.

3. Gefðu út skilríki frá samþykktum eiganda

Dæmið í Ubuntu setur easy-rsa upp við hlið OpenVPN til að byggja lítið PKI, sem er hlutverk útgáfu skilríkja en ekki keyrandi gönguþjónusta. Ef samtökin hafa þegar samþykkt útgáfuferli, notaðu það í stað þess að búa til ótengt CA vegna þess að leiðarvísir inniheldur eitt. Haltu eigin einkalykli og skírteini gáttarinnar aðskildum frá undirskriftarlykli CA, og veldu stað undirskriftar og öryggisafrits af yfirvegun. Að afrita hverja PKI-skrá á hvern hýsil er ekki hugbúnaðarkrafa.

4. Skildu skjáborðsviðbætur eftir á skjáborðunum

Ritill NetworkManager eða innflutningsviðbót hefur tilgang á vél sem notar það vinnuferli. Það er ekki viðbótarþjónseiginleiki sem þarf vegna þess að gáttin talar OpenVPN.

Veldu einn eiganda tengingarinnar, og ræstu ekki aðra, skjáborðsstýrða eintak af sama sniði.

5. Samþykktu gáttina með raunverulegum biðlara

Færri pakkar eru ekki fullbúin gátt. Þjónninn þarf enn samþykktan hlustanda, auðkenni, leiðir, framsendingu þar sem þarf, þrönga eldveggjastefnu og fyrirhugaða afturleið. Skrifaðu niður hvar annálar hennar birtast og hvernig uppfærslur eru settar inn, því þessi tvö svör ráða því hvernig bilun verður greind síðar.

Hönnun með útgang á internet og hönnun með aðgang að einkaneti hafa ólíkar framsendingarkröfur, svo ákveddu hvora þú byggir áður en þú opnar nokkuð. Ræstu einn samþykktan biðlara og athugaðu fyrirhugaða auðlind í stað gönguvísisins. Endurræstu svo þjónustuna á stýrðan hátt og staðfestu ræsingarleiðina án eftirlits, því gátt sem kemur aðeins upp meðan einhver fylgist með er ekki komin í notkun.