რა პროგრამული როლები სჭირდება OpenVPN კარიბჭეს მონიტორის გარეშე

OpenVPN კარიბჭისთვის გამოყოფილ მანქანას სჭირდება მხარდაჭერილი სერვერის ინსტალაცია და პროგრამები იმ სამუშაოებისთვის, რომლებსაც ის რეალურად ასრულებს. ინსტალატორის მენიუ, რომელიც გთავაზობთ SSH-ს, ვებჰოსტინგს და სხვა სერვერის როლებს, არ არის OpenVPN-ის წინაპირობების სია. მონიტორის გარეშე განლაგება სრულიად გონივრულია. მთავარია სამი სამუშაოს გამოყოფა: გვირაბის ტარება, ჰოსტის ადმინისტრირება და სერტიფიკატების გაცემა.

ეს არის ჩემ მიერ გამოყენებული ინვენტარიზაციის რიგი, თითოეული ნაბიჯის დამხურავი შემოწმებით.

1. მიეცით გვირაბის სერვისს საკუთარი პაკეტი და პროფილი

Ubuntu-ს OpenVPN სერვერის სახელმძღვანელო იყენებს დისტრიბუციის openvpn პაკეტს ბრძანების ხაზითა და სერვისის კონფიგურაციით. იგივე პაკეტი Linux კლიენტადაც მუშაობს, ხოლო როლს კონფიგურაცია ირჩევს.

ეს ნიშნავს, რომ კლიენტის GUI-ის დაყენება არ არის ის, რაც ჰოსტს სერვერად აქცევს, და მისი მოხსნა არ არის ის, რაც მას მონიტორის გარეშე ტოვებს. ჩაწერეთ, რომელ პროფილს კითხულობს გაშვებული ინსტანცია, რადგან იმავე საქაღალდეში მეორე კონფიგურაციის ფაილი შეიძლება ჩაიტვირთოს უცნობად, და დემონი ორივე შემთხვევაში წარმატებას აცხადებს. როცა ორი პროფილი არსებობს, სერვისის მენეჯერი წყვეტს, რომელი იმარჯვებს, და ეს გადაწყვეტილება თქვენს ჩანაწერებს ეკუთვნის და არა ვარაუდს.

2. გადაწყვიტეთ ადმინისტრირების გზა გვირაბამდე

OpenSSH მოდის ცალკე openssh-server პაკეტიდან და საკუთარი სერვისის სახით მუშაობს. ის სასარგებლოა, როცა ადმინისტრატორს მანქანამდე SSH-ით მისვლა სჭირდება, მაგრამ OpenVPN VPN პაკეტების გაცვლისთვის SSH სერვერს არ საჭიროებს. ლოკალური კონსოლი ან დამტკიცებული პლატფორმის მართვის არხი კიდევ ერთი მართებული გზაა. გადაწყვიტეთ, რომელს ეყრდნობით, სანამ მარშრუტიზაციას ან ფილტრაციას შეცვლით, რადგან ახალი გვირაბი არასოდეს უნდა იყოს თავის თავის შეკეთების ერთადერთი გამოუცდელი გზა.

3. გასცეთ სერტიფიკატები დამტკიცებული მფლობელისგან

Ubuntu-ს მაგალითი OpenVPN-ის გვერდით აყენებს easy-rsa-ს პატარა PKI-ის ასაგებად, რაც სერტიფიკატების გაცემის როლია და არა მოქმედი გვირაბის სერვისი. თუ ორგანიზაციას უკვე აქვს დამტკიცებული გაცემის პროცესი, გამოიყენეთ ის, ნაცვლად იმისა რომ შექმნათ უკავშირო CA მხოლოდ იმიტომ, რომ გაკვეთილი მას შეიცავს. კარიბჭის საკუთარი პირადი გასაღები და სერტიფიკატი შეინახეთ CA-ის ხელმოწერის გასაღებისგან ცალკე, და ხელმოწერისა და სარეზერვო ასლის ადგილი შეგნებულად აირჩიეთ. ყოველი PKI ფაილის ყოველ ჰოსტზე კოპირება პროგრამული მოთხოვნა არ არის.

4. დატოვეთ სამუშაო მაგიდის დანამატები სამუშაო მაგიდებს

NetworkManager-ის რედაქტორს ან იმპორტის დანამატს აქვს დანიშნულება მანქანაზე, რომელიც ამ სამუშაო ნაკადს იყენებს. ეს არ არის დამატებითი სერვერის ფუნქცია, რომელიც საჭიროა იმიტომ, რომ კარიბჭე OpenVPN-ს ლაპარაკობს.

აირჩიეთ ერთი მფლობელი კავშირისთვის და არ გაუშვათ იმავე პროფილის მეორე, სამუშაო მაგიდიდან მართული ასლი.

5. მიიღეთ კარიბჭე რეალური კლიენტით

ნაკლები პაკეტი ჯერ არ არის დასრულებული კარიბჭე. სერვერს კვლავ სჭირდება დამტკიცებული მსმენელი, იდენტობები, მარშრუტები, საჭიროებისას გადაგზავნა, ვიწრო ქსელური დაცვის პოლიტიკა და განზრახული დაბრუნების გზა. ჩაწერეთ, სად ჩნდება მისი ჟურნალები და როგორ გამოიყენება განახლებები, რადგან ეს ორი პასუხი წყვეტს, როგორ დიაგნოსტირდება ხარვეზი მოგვიანებით.

ინტერნეტში გასასვლელი დიზაინი და კერძო ქსელზე წვდომის დიზაინი სხვადასხვა გადაგზავნის მოთხოვნას ნიშნავს, ამიტომ რომელს აშენებთ, სანამ რამეს გახსნით, გადაწყვიტეთ. აღმართეთ ერთი დამტკიცებული კლიენტი და შეამოწმეთ განზრახული რესურსი და არა გვირაბის ინდიკატორი. შემდეგ გადაიტვირთეთ სერვისი კონტროლირებული გზით და დაადასტურეთ უმეთვალყურეო გაშვების გზა, რადგან კარიბჭე, რომელიც მხოლოდ მაშინ ადის, როცა ვიღაც უყურებს, ჯერ არ არის განლაგებული.