OpenVPN басқару сокеті: басқару арнасы, көрсеткіштер емес

Басқару интерфейсінен бір рет күй сұраңыз — ол күй портына ұқсай бастайды. Бірақ олай емес. Клиент қабылданғаннан кейін ол протоколдың басқару пәрмендерін бере алады, ал сол клиентті іске қосатын тіркелгі осы пәрмендердің демонға жасай алатынының бәрін мұралайды. Оны тек оқуға арналған ағын ретінде қарау — мониторинг интеграциясын аутентификациясыз консольге айналдыратын қате.

Сенім және оның құны

Сенім: басқару тыңдаушысы метрика соңғы нүктесіне тең — коллекторды қосыңыз, санауыштарды оқыңыз, әрі қарай жүріңіз. Шын мәнінде коллектор басқару мүмкіндіктері бар сессия ашады, және орналастыру туралы кез келген басқа болжамыңыз енді осы коллектордың дұрыс әрекет етуіне тәуелді.

Интерфейсте тек оқу режимі туралы ештеңе жарнамаланбайды. Таңдауға болатын бақылаушы рөлі жоқ, және конфигурациядағы пайдаланушы аты оны жасамайды.

Қабылданған клиент шын мәнінде немен иеленеді

Қауымдастық демоны бір уақытта тек бір белсенді басқару клиентін қабылдайды. Бұл бір ұяшық GUI, скрипт және мониторинг агенті бірге қосыла алмайтынын білдіреді; біріншісі сессияны ұстап тұрғанда екіншісі күтеді немесе сәтсіз аяқталады. Егер сіздің дизайныңыз бір мезгілдегі оқырмандарды болжаса, ол әлдеқашан қате.

Мерзімді сурет жеткілікті болса, күй файлының шығысы тірі сессиясыз сол сандарды береді. Сол файлды аралықпен жазып, оны қарапайым файл рұқсаттарымен оқу коллекторды басқару жазықтығынан толығымен тыс ұстайды, және бұл көптеген мониторингке шын мәнінде керек орналасу.

Өз сокеті, ашық емес

Unix домендік сокеті басқару жолын желіден тыс ұстайды, бұл мәселеде өзгеретін туннель мекенжайын алып тастайды. Ол рұқсат мәселесін алып тастамайды. Аталық каталог қызмет тіркелгісі үшін жазылатын және контроллер тіркелгісі үшін қолжетімді болуы керек, және бұл екі бөлек рұқсат:

management /run/openvpn/office-management.sock unix /etc/openvpn/management.password
management-client-user vpn-observer
management-client-group vpn-observer

Құпиясөз файлы басқару құпиясын бірінші жолында ұстайды. Бұл файлды кез келген басқа тіркелгі деректері сияқты қорғаңыз, және оның мазмұнын журналдар мен қолдау билеттерінен тыс ұстаңыз. Пайдаланушы мен топ шектеулері — Unix сокетіндегі теңдік тексерулері, файлдық жүйе рұқсаттары емес, сондықтан мақсатты процесс файлға қатынауды да, сәйкес бірегейлікті де қажет етеді.

Рұқсат қатесін жою үшін сокетті бүкіл әлемге ашу — бұл жалғыз түзету, одан аулақ болу керек. Ол жергілікті басқару арнасын хосттағы кез келген процесс басқара алатын нәрсеге айналдырады.

Оны TCP арқылы жариялау — сол дизайн емес

Тыңдаушыны TCP портына көшіру оны қауіпсіз немесе ыңғайлы етпейді. Басқару құпиясөзі ашық мәтінмен жіберіледі, сондықтан TCP тыңдаушысы тіркелгі деректерін де, сессияны да жолды бақылай алатын кез келген адамға ашады. Оған басқа хосттан қатынау үшін өкілетті әкімшілік арна немесе тек сізге қажет бақылауларды көрсететін шағын жергілікті агент керек.

Ашық мәтінді тасымалдаудағы құпиясөз — құпиялылықсыз аутентификация, және бұл үйлесім көрінгеннен де нашар, өйткені қорғалғандай сезіледі.

Сіз сұрамаған іске қосу тәуелділіктері

Бірнеше басқару опциясы демонның өмірлік циклін өзгертеді. Іске қосылуды контроллер қосылғанша ұстау немесе контроллер жоғалғанда тоқтату — қосымша бақылаушыны қатаң тәуелділікке айналдырады. Сонда құлаған мониторинг агенті туннельді де өзімен бірге түсіреді.

Сокеттің өзінен басқа нәрсені қосу алдында осы опцияларды қарап шығыңыз. Қосымша бақылау қосымша болып қалуы керек, ал қайта іске қосу саясаты графиктер үшін қосылған коллекторға байланыспауы керек.

Сәтсіз процестен кейін қалған сокет файлы — тыңдаушының бар екендігінің дәлелі емес. Оны жоймас бұрын қай дананың жолға ие екенін анықтаңыз, және жұмыс істеп тұрған демон астындағы файлдарды жоюдың орнына қызметтің өз қалпына келтіру ағынын қолданыңыз.

Қабылдау қалай көрінеді

Төрт тексеру дизайнды қамтиды: көзделген контроллер бірегейлігі қосылады, сол бірегейліксіз процесс қабылданбайды, демон ескертусіз ажырайтын контроллерден аман қалады, және бақыланатын қайта іске қосу арқылы туннель әлі де трафикті тасымалдайды. Сәтті басқару қосылымы тек басқару жазықтығын дәлелдейді. Ол жеке қолданбалар трафигінің жұмыс істеуі туралы ештеңе айтпайды, сондықтан оны бөлек тексеріңіз. Төрт нәтижені келесі оператор таба алатын жерге жазыңыз.

Басқару интерфейсінің құжаттамасы бір клиент үлгісін және протоколдың артықшылықты сипатын сипаттайды, және дәшбордты оған бағыттамас бұрын оқуға тұрарлық бөлік — осы.