Клиент ілгегі ме, сервер ілгегі ме? OpenVPN скрипті қайда орындалады

Міндет анық: ноутбук қосылғанда, ноутбуктің өзінде бірдеңе өзгеруі керек. Өңделіп жатқан конфигурация серверге тиесілі, ал болжам дәл осы жерде бұзылады. Сервер файлындағы жол сол сервердегі файлды атайды, және қанша push жасасаңыз да, оны қай процестің орындайтыны өзгермейді. Екі ілгектің бірін таңдау — негізінен жұмысты қай машина иемденетінін шешу және одан туындайтын шектеулерді қабылдау.

Екі машина, алдымен жауап берілуі керек екі сұрақ

Күй өзгерісі қайда болуы керектігін сұраңыз, содан кейін оған қай оқиға сәйкес келетінін сұраңыз. Егер өзгеріс әр пайдаланушыға арналған рұқсат немесе әр клиентке арналған конфигурация шешімі болса, ол пайдаланушылар каталогы белгілі жерге тиесілі: серверге. Егер өзгеріс маршрут болса, resolver параметрі немесе шеткі нүктедегі жергілікті көмекші болса, ол шеткі нүктеге тиесілі, және оны тек шеткі нүкте ғана орындай алады.

Бұл екі сұраққа кері ретпен жауап беру — адамдардың Windows ноутбукіне batch файлын push етуге тырысуының жолы. Сервер кім қосылғанын біледі; ноутбук өз желілік стекінің қандай екенін біледі. Екеуінің бірінде екіншісінің ақпараты жоқ, және әрекет әдетте анық қате орнына үнсіз сәтсіз аяқталады.

Екеуінен бұрын үшінші сұрақ қоюға тұрарлық: платформа сіз қалаған ілгекті мүлдем ұсына ма? Өз конфигурациясын өзі жасайтын құрылғы бірдей оқиға атауларын ұсынбауы мүмкін, ал .ovpn файлын импорттайтын жұмыс үстелі клиенті файл жазылған клиентпен бірдей болуы міндетті емес. Платформаны алдын ала растау сізді онда жоқ ілгектің айналасында жобалаудан құтқарады. Ол сондай-ақ алдыңыздағы машинаға қай құжаттың шынымен қатысты екенін айтады.

Сервер жағындағы нұсқа: әр қосылымға бір оқиға

client-connect скрипті аутентификацияланған клиент қосылғанда сервер процесінің контекстінде орындалады және common name мен бөлінген мекенжай сияқты құжатталған қосылым мәліметтерін алады. Бұл әр клиентке арналған конфигурация үзіндісін жазуға, саясат шешімін күштеуге немесе серверге тиесілі күйді жазуға дұрыс орын.

Адамдар назарынан тыс қалдыратын айырмашылық — бұл ілгек пен сервердің up ілгегі арасындағы айырмашылық. up ілгегі сервер өзінің туннель құрылғысын ашқанда іске қосылады, бұл көп клиентті серверде демон іске қосылғанда бір рет болады. Бұл әр кіруге арналған оқиға емес, және онда орналастырылған код пайдаланушылар қосылғанда емес, қызмет іске қосылғанда орындалады.

Веб-интерфейсі бар құрылғыда жасалған демон файлдарын өңдеудің орнына қолдау көрсетілетін кеңейту механизмін пайдаланыңыз. Жасалған файлдар келесі сақтауда қайта жазылады, және қайта жазу өзгерісіңізді ең нашар сәтте үнсіз жояды. Кеңейту мәтінінің көшірмесін құрылғыдан тыс жерде ұстаңыз, сонда firmware жаңартуы ниетті де жоғалтпайды.

Клиент жағындағы нұсқа: жергілікті орындалуы керек жұмыс

Қауымдастық клиенті туннель құрылғысы көтерілгенде және маршруттар орнатылғанда жергілікті скриптті іске қоса алады. Бұл екі түрлі сәт, және дұрыс емесін таңдау — көмекшінің тәуелді маршрут әлі жоқ кезде іске қосылатын классикалық жарыс тудырады.

Көмекші сол клиентте болуы, клиентті іске қосатын тіркелкі үшін оқылатын және орындалатын болуы, және айқын script-security параметрімен рұқсат етілуі керек. Клиентті әкімші ретінде іске қосқанда жұмыс істейтін скрипт кіру алдындағы қызмет немесе басқа пайдаланушының сессиясы туралы ештеңе айтпайды.

Атау да маңызды. up ілгегі құрылғы жасауға, ал route-up маршруттарды орнатуға сәйкес келеді, бірақ жеке желіге қол жетімді болуды талап ететін тапсырма құрылғы жасау әр маршрут, resolver жазбасы және қолданба дайын дегенді білдіреді деп болжаудың орнына қолжетімділікті тексеруі керек.

Неліктен орындалатын кодты push ету опцияларда жоқ

push арқылы жіберілетін опциялар әдейі шектелген, және скрипттерді орындайтын опциялар серверге жіберуге рұқсат етілмейтін санаттарға жатады. Бұл шектеу бар, өйткені балама нұсқа бұзылған немесе дұрыс конфигурацияланбаған серверге кез келген қосылған клиентте ерікті пәрмендерді орындауға мүмкіндік берер еді.

Скрипттерді жергілікті орындауды қосу мұны өзгертпейді. Сіздің script-security параметріңіз өзіңіз таңдаған жергілікті скрипттерге рұқсат береді; ол серверге жаңаларын жеткізуге құқық бермейді.

Егер мақсат тек VPN маршруттарын орнату болса, қашықтан орындау схемасын ойлап табудың орнына қолдау көрсетілетін маршрут конфигурациясын пайдаланыңыз. Егер мақсат шынымен жергілікті кодты қажет етсе, оны ұйымның шеткі нүктелерді басқару құралдары арқылы таратыңыз және пайдаланушы құқықтарымен жұмыс істейтін кез келген басқа бағдарламалық жасақтама сияқты қарап шығыңыз.

Екі ілгектің қайсысына сенбес бұрын нені тексеру керек

Әр ілгек үшін төрт нәрсе жазыңыз: машина, оқиға атауы, ол қандай тіркелкі астында жұмыс істейді және ол өндіруге тиіс күй өзгерісі. Содан кейін қосылымды, қайта қосылуды және тазалау жолын тексеріңіз, өйткені қайта қосылуда күйді ағызатын ілгек ешқашан іске қосылмаған ілгектен де нашар.

Оны шынымен орындайтын тіркелкі астында, шынымен орындалатын сәтте тексеріңіз. openvpn(8) нұсқаулығы екі ілгек тобын және push шектеулерін құжаттайды; сіз орналастыратын платформа олардың мүлдем ұсынылатынын құжаттайды. Интерактивті әкімші терминалында сәтті болатын скрипт — болжам, тексеру емес.