Мониторсыз OpenVPN шлюзіне қандай бағдарламалық рөлдер қажет
Шағын OpenVPN шлюзіне әрбір қосымша сервер рөлі емес, ойластырылған туннель қызметі мен әкімшілік жолы қажет. Туннельді SSH пен PKI-ден бөліңіз.
OpenVPN шлюзіне арналған машинаға қолдау көрсетілетін сервер орнатуы және ол шынымен орындайтын жұмыстарға арналған бағдарламалық қамтамасыз ету қажет. SSH, веб-хостинг және басқа сервер рөлдерін ұсынатын орнату мәзірі OpenVPN алғышарттарының тізімі емес. Мониторсыз орналастыру әбден орынды. Маңыздысы — үш жұмысты бөлу: туннельді тасымалдау, хостты әкімшілендіру және тіркелгі деректерін беру.
Міне, мен қолданатын түгендеу тәртібі, әр қадамды жабатын тексерумен бірге.
1. Туннель қызметіне жеке пакет пен профиль беріңіз
Ubuntu-ның OpenVPN серверінің нұсқаулығы дистрибутивтің openvpn пакетін пәрмен жолымен және қызмет конфигурациясымен пайдаланады. Сол пакет Linux клиенті ретінде де қызмет етеді, ал рөлді конфигурация таңдайды.
Бұл клиент GUI-ін орнату хостты серверге айналдырмайды, оны жою оны мониторсыз етпейді деген сөз. Жұмыс істеп тұрған дана қай профильді оқитынын жазып қойыңыз, өйткені сол қалтадағы екінші конфигурация файлы ешкім байқамай жүктелуі мүмкін, ал демон екі жағдайда да сәттілік туралы хабарлайды. Екі профиль болғанда қайсысы жеңетінін қызмет менеджері шешеді, және бұл шешім болжамға емес, сіздің жазбаларыңызға тиесілі.
2. Әкімшілік жолын туннельге дейін шешіңіз
OpenSSH жеке openssh-server пакетінен келеді және өз қызметі ретінде жұмыс істейді. Әкімші машинаға SSH арқылы жетуі керек болғанда пайдалы, бірақ OpenVPN VPN пакеттерін алмасу үшін SSH серверін қажет етпейді. Жергілікті консоль немесе бекітілген платформаны басқару арнасы — тағы бір жарамды жол. Маршруттауды немесе сүзуді өзгертуден бұрын қайсысына сүйенетініңізді шешіңіз, өйткені жаңа туннель өзін жөндеудің жалғыз сыналмаған жолы болмауы керек.
3. Тіркелгі деректерін бекітілген иесінен беріңіз
Ubuntu мысалы шағын PKI құру үшін OpenVPN-нің қасына easy-rsa орнатады, бұл жұмыс істеп тұрған туннель қызметі емес, тіркелгі деректерін беру рөлі. Егер ұйымда бекітілген беру процесі бұрыннан болса, оқулықта бар деп байланыссыз CA жасаудың орнына соны пайдаланыңыз. Шлюздің өз жеке кілтін және сертификатын CA қол қою кілтінен бөлек ұстаңыз, қол қою мен резервтік көшірме орнын әдейі таңдаңыз. Әрбір PKI файлын әрбір хостқа көшіру бағдарламалық талап емес.
4. Жұмыс үстелі плагиндерін жұмыс үстелдеріне қалдырыңыз
NetworkManager редакторы немесе импорт плагині осы жұмыс ағынын пайдаланатын машинада мақсатқа ие. Шлюз OpenVPN сөйлейді деп қажет болатын қосымша сервер функциясы емес.
Қосылымға бір иесін таңдаңыз және сол профильдің екінші, жұмыс үстелінен басқарылатын көшірмесін іске қоспаңыз.
5. Шлюзді нақты клиентпен қабылдаңыз
Аз пакет — дайын шлюз емес. Серверге әлі де бекітілген тыңдаушы, сәйкестендірулер, маршруттар, қажет жерде қайта жіберу, тар желілік қалқан саясаты және көзделген қайтару жолы қажет. Оның журналдары қайда пайда болатынын және жаңартулардың қалай қолданылатынын жазыңыз, өйткені осы екі жауап ақаудың кейін қалай диагностикаланатынын анықтайды.
Интернетке шығу дизайны мен жеке желіге кіру дизайнының қайта жіберу талаптары әртүрлі, сондықтан бірдеңе ашпас бұрын қайсысын салып жатқаныңызды шешіңіз. Бір бекітілген клиентті көтеріп, туннель көрсеткішінің орнына көзделген ресурсты тексеріңіз. Содан кейін қызметті бақыланатын түрде қайта іске қосып, қадағалаусыз іске қосылу жолын растаңыз, өйткені тек біреу қарап тұрғанда ғана көтерілетін шлюз әлі орналастырылмаған.