OpenVPN ನಿರ್ವಹಣಾ ಸಾಕೆಟ್: ನಿಯಂತ್ರಣ ಚಾನೆಲ್, ಮೆಟ್ರಿಕ್ಸ್ ಅಲ್ಲ

ನಿರ್ವಹಣಾ ಇಂಟರ್ಫೇಸ್ಗೆ ಒಮ್ಮೆ ಸ್ಥಿತಿ ಕೇಳಿ ಮತ್ತು ಅದು ಸ್ಥಿತಿ ಪೋರ್ಟ್ನಂತೆ ಕಾಣಲು ಪ್ರಾರಂಭಿಸುತ್ತದೆ. ಆದರೆ ಅದು ಅಲ್ಲ. ಕ್ಲೈಂಟ್ ಒಪ್ಪಿಗೆಯಾದ ನಂತರ ಅದು ಪ್ರೋಟೋಕಾಲ್ನ ನಿಯಂತ್ರಣ ಆದೇಶಗಳನ್ನು ನೀಡಬಹುದು, ಮತ್ತು ಆ ಕ್ಲೈಂಟ್ ಚಲಾಯಿಸುವ ಖಾತೆ ಆ ಆದೇಶಗಳು ಡೀಮನ್ಗೆ ಮಾಡಬಹುದಾದ ಎಲ್ಲವನ್ನೂ ಬಳುವಳಿಯಾಗಿ ಪಡೆಯುತ್ತದೆ. ಅದನ್ನು ಓದಲು-ಮಾತ್ರ ಫೀಡ್ ಎಂದು ಪರಿಗಣಿಸುವುದು ಮಾನಿಟರಿಂಗ್ ಇಂಟಿಗ್ರೇಶನ್ ಅನ್ನು ದೃಢೀಕರಣವಿಲ್ಲದ ಕನ್ಸೋಲ್ ಆಗಿ ಬದಲಿಸುವ ತಪ್ಪು.

ನಂಬಿಕೆ, ಮತ್ತು ಅದರ ಬೆಲೆ

ನಿರ್ವಹಣಾ ಶ್ರೋತೃವು ಮೆಟ್ರಿಕ್ಸ್ ಎಂಡ್ಪಾಯಿಂಟ್ಗೆ ಸಮಾನ ಎಂಬ ನಂಬಿಕೆ ಇದೆ: ಕಲೆಕ್ಟರ್ ಜೋಡಿಸಿ, ಕೌಂಟರ್ಗಳನ್ನು ಓದಿ, ಮುಂದೆ ಸಾಗಿ. ವಾಸ್ತವದಲ್ಲಿ ಕಲೆಕ್ಟರ್ ನಿಯಂತ್ರಣ ಸಾಮರ್ಥ್ಯಗಳಿರುವ ಸೆಷನ್ ತೆರೆಯುತ್ತದೆ, ಮತ್ತು ನಿಯೋಜನೆಯ ಬಗ್ಗೆ ನೀವು ಮಾಡಿದ ಪ್ರತಿಯೊಂದು ಊಹೆಯೂ ಈಗ ಆ ಕಲೆಕ್ಟರ್ ಚೆನ್ನಾಗಿ ವರ್ತಿಸುವುದನ್ನು ಅವಲಂಬಿಸಿದೆ.

ಇಂಟರ್ಫೇಸ್ನಲ್ಲಿ ಯಾವುದೂ ಓದಲು-ಮಾತ್ರ ಮೋಡ್ ಅನ್ನು ಜಾಹೀರಾತು ಮಾಡುವುದಿಲ್ಲ. ಆಯ್ಕೆ ಮಾಡಲು ವೀಕ್ಷಕ ಪಾತ್ರವಿಲ್ಲ, ಮತ್ತು ಸಂರಚನೆಯಲ್ಲಿನ ಬಳಕೆದಾರ ಹೆಸರು ಅದನ್ನು ಸೃಷ್ಟಿಸುವುದಿಲ್ಲ.

ಸ್ವೀಕೃತ ಕ್ಲೈಂಟ್ ನಿಜವಾಗಿ ಏನನ್ನು ಹೊಂದಿದೆ

ಸಮುದಾಯ ಡೀಮನ್ ಒಂದು ಸಮಯಕ್ಕೆ ಕೇವಲ ಒಂದು ಸಕ್ರಿಯ ನಿರ್ವಹಣಾ ಕ್ಲೈಂಟ್ ಅನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ. ಆ ಒಂದು ಸ್ಲಾಟ್ ಎಂದರೆ GUI, ಸ್ಕ್ರಿಪ್ಟ್ ಮತ್ತು ಮಾನಿಟರಿಂಗ್ ಏಜೆಂಟ್ ಎಲ್ಲರೂ ಸಂಪರ್ಕಿಸಲು ಸಾಧ್ಯವಿಲ್ಲ; ಮೊದಲನೆಯದು ಸೆಷನ್ ಹಿಡಿದಿರುವಾಗ ಎರಡನೆಯದು ಕಾಯುತ್ತದೆ ಅಥವಾ ವಿಫಲವಾಗುತ್ತದೆ. ನಿಮ್ಮ ವಿನ್ಯಾಸವು ಏಕಕಾಲಿಕ ಓದುಗರನ್ನು ಊಹಿಸಿದರೆ, ಅದು ಈಗಾಗಲೇ ತಪ್ಪು.

ನಿಯತಕಾಲಿಕ ಸ್ನ್ಯಾಪ್ಶಾಟ್ ಸಾಕಾದಲ್ಲಿ, ಸ್ಥಿತಿ-ಫೈಲ್ ಔಟ್ಪುಟ್ ಲೈವ್ ಸೆಷನ್ ಇಲ್ಲದೆ ಅದೇ ಸಂಖ್ಯೆಗಳನ್ನು ನೀಡುತ್ತದೆ. ಆ ಫೈಲ್ ಅನ್ನು ಮಧ್ಯಂತರಗಳಲ್ಲಿ ಬರೆಯುವುದು ಮತ್ತು ಸಾಮಾನ್ಯ ಫೈಲ್ ಅನುಮತಿಗಳಿಂದ ಓದುವುದು ಕಲೆಕ್ಟರ್ ಅನ್ನು ನಿಯಂತ್ರಣ ಸಮತಲದಿಂದ ಸಂಪೂರ್ಣವಾಗಿ ಹೊರಗಿಡುತ್ತದೆ, ಮತ್ತು ಹೆಚ್ಚಿನ ಮಾನಿಟರಿಂಗ್ಗೆ ನಿಜವಾಗಿ ಬೇಕಾಗಿರುವುದು ಇದೇ ವ್ಯವಸ್ಥೆ.

ಸ್ವಂತ ಸಾಕೆಟ್, ತೆರೆದದ್ದಲ್ಲ

Unix ಡೊಮೇನ್ ಸಾಕೆಟ್ ನಿಯಂತ್ರಣ ಮಾರ್ಗವನ್ನು ನೆಟ್ವರ್ಕ್ನಿಂದ ಹೊರಗಿಡುತ್ತದೆ, ಇದು ಸಮಸ್ಯೆಯಿಂದ ಬದಲಾಗುವ ಟನೆಲ್ ವಿಳಾಸವನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ. ಅದು ಅನುಮತಿ ಪ್ರಶ್ನೆಯನ್ನು ತೆಗೆದುಹಾಕುವುದಿಲ್ಲ. ಮೂಲ ಡೈರೆಕ್ಟರಿ ಸೇವಾ ಖಾತೆಗೆ ಬರೆಯಲು ಯೋಗ್ಯವಾಗಿರಬೇಕು ಮತ್ತು ನಿಯಂತ್ರಕರ ಖಾತೆಗೆ ತಲುಪಬಹುದಾಗಿರಬೇಕು, ಮತ್ತು ಇವು ಎರಡು ಪ್ರತ್ಯೇಕ ಅನುಮತಿಗಳು:

management /run/openvpn/office-management.sock unix /etc/openvpn/management.password
management-client-user vpn-observer
management-client-group vpn-observer

ಪಾಸ್ವರ್ಡ್ ಫೈಲ್ ತನ್ನ ಮೊದಲ ಸಾಲಿನಲ್ಲಿ ನಿರ್ವಹಣಾ ರಹಸ್ಯವನ್ನು ಹೊಂದಿರುತ್ತದೆ. ಆ ಫೈಲ್ ಅನ್ನು ಯಾವುದೇ ಇತರ ರುಜುವಾತಿನಂತೆ ರಕ್ಷಿಸಿ, ಮತ್ತು ಅದರ ವಿಷಯವನ್ನು ಲಾಗ್ಗಳು ಮತ್ತು ಬೆಂಬಲ ಟಿಕೆಟ್ಗಳಿಂದ ಹೊರಗಿಡಿ. ಬಳಕೆದಾರ ಮತ್ತು ಗುಂಪು ನಿರ್ಬಂಧಗಳು Unix ಸಾಕೆಟ್ನಲ್ಲಿ ಪೀರ್ ಪರಿಶೀಲನೆಗಳು, ಫೈಲ್ಸಿಸ್ಟಮ್ ಅನುಮತಿಗಳಲ್ಲ, ಆದ್ದರಿಂದ ಉದ್ದೇಶಿತ ಪ್ರಕ್ರಿಯೆಗೆ ಫೈಲ್ ಪ್ರವೇಶ ಮತ್ತು ಹೊಂದಿಕೆಯಾಗುವ ಗುರುತು ಎರಡೂ ಬೇಕು.

ಅನುಮತಿ ದೋಷವನ್ನು ತೆರವುಗೊಳಿಸಲು ಸಾಕೆಟ್ ಅನ್ನು ಎಲ್ಲರಿಗೂ ತೆರೆಯುವುದು ತಪ್ಪಿಸಬೇಕಾದ ಏಕೈಕ ಸರಿಪಡಿಸುವಿಕೆ. ಅದು ಸ್ಥಳೀಯ ನಿಯಂತ್ರಣ ಚಾನೆಲ್ ಅನ್ನು ಹೋಸ್ಟ್ನ ಯಾವುದೇ ಪ್ರಕ್ರಿಯೆ ನಡೆಸಬಹುದಾದ ವಸ್ತುವಾಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ.

TCP ಮೇಲೆ ಅದನ್ನು ಪ್ರಕಟಿಸುವುದು ಅದೇ ವಿನ್ಯಾಸವಲ್ಲ

ಶ್ರೋತೃವನ್ನು TCP ಪೋರ್ಟ್ಗೆ ಸರಿಸುವುದು ಅದನ್ನು ಹೆಚ್ಚು ಸುರಕ್ಷಿತ ಅಥವಾ ಹೆಚ್ಚು ಅನುಕೂಲಕರವಾಗಿಸುವುದಿಲ್ಲ. ನಿರ್ವಹಣಾ ಪಾಸ್ವರ್ಡ್ ಸ್ಪಷ್ಟ ಪಠ್ಯದಲ್ಲಿ ಕಳುಹಿಸಲ್ಪಡುತ್ತದೆ, ಆದ್ದರಿಂದ TCP ಶ್ರೋತೃ ರುಜುವಾತು ಮತ್ತು ಸೆಷನ್ ಎರಡನ್ನೂ ಮಾರ್ಗವನ್ನು ಗಮನಿಸಬಹುದಾದ ಯಾರಿಗಾದರೂ ಒಡ್ಡುತ್ತದೆ. ಬೇರೆ ಹೋಸ್ಟ್ನಿಂದ ಅದನ್ನು ತಲುಪಲು ಅಧಿಕೃತ ಆಡಳಿತ ಚಾನೆಲ್, ಅಥವಾ ನಿಮಗೆ ಬೇಕಾದ ವೀಕ್ಷಣೆಗಳನ್ನು ಮಾತ್ರ ಒಡ್ಡುವ ಸಣ್ಣ ಸ್ಥಳೀಯ ಏಜೆಂಟ್ ಬೇಕು.

ಸ್ಪಷ್ಟ ಪಠ್ಯ ಸಾಗಣೆಯ ಮೇಲಿನ ಪಾಸ್ವರ್ಡ್ ಗೋಪ್ಯತೆಯಿಲ್ಲದ ದೃಢೀಕರಣ, ಮತ್ತು ಆ ಸಂಯೋಜನೆ ಕಾಣುವುದಕ್ಕಿಂತ ಕೆಟ್ಟದು ಏಕೆಂದರೆ ಅದು ರಕ್ಷಿತವೆಂದು ಅನಿಸುತ್ತದೆ.

ನೀವು ಕೇಳದ ಪ್ರಾರಂಭ ಅವಲಂಬನೆಗಳು

ಹಲವು ನಿರ್ವಹಣಾ ಆಯ್ಕೆಗಳು ಡೀಮನ್ನ ಜೀವನಚಕ್ರವನ್ನು ಬದಲಿಸುತ್ತವೆ. ನಿಯಂತ್ರಕ ಸಂಪರ್ಕಗೊಳ್ಳುವವರೆಗೆ ಪ್ರಾರಂಭವನ್ನು ಹಿಡಿದಿಡುವುದು, ಅಥವಾ ನಿಯಂತ್ರಕ ಕಣ್ಮರೆಯಾದಾಗ ಮುಗಿಸುವುದು ಐಚ್ಛಿಕ ವೀಕ್ಷಕನನ್ನು ಕಠಿಣ ಅವಲಂಬನೆಯಾಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ. ಆಗ ಕ್ರ್ಯಾಶ್ ಆಗುವ ಮಾನಿಟರಿಂಗ್ ಏಜೆಂಟ್ ಟನೆಲ್ ಅನ್ನೂ ತನ್ನೊಂದಿಗೆ ಕೆಡವುತ್ತದೆ.

ಸಾಕೆಟ್ನ ಹೊರತಾಗಿ ಏನನ್ನಾದರೂ ಸಕ್ರಿಯಗೊಳಿಸುವ ಮೊದಲು ಆ ಆಯ್ಕೆಗಳನ್ನು ಪರಿಶೀಲಿಸಿ. ಐಚ್ಛಿಕ ವೀಕ್ಷಣೆ ಐಚ್ಛಿಕವಾಗಿಯೇ ಉಳಿಯಬೇಕು, ಮತ್ತು ಮರುಪ್ರಾರಂಭ ನೀತಿಯನ್ನು ಗ್ರಾಫ್ಗಳಿಗಾಗಿ ಸೇರಿಸಿದ ಕಲೆಕ್ಟರ್ಗೆ ಜೋಡಿಸಬಾರದು.

ವಿಫಲ ಪ್ರಕ್ರಿಯೆಯ ನಂತರ ಉಳಿದ ಸಾಕೆಟ್ ಫೈಲ್ ಶ್ರೋತೃ ಇದೆ ಎಂಬುದಕ್ಕೆ ಸಾಕ್ಷಿಯಲ್ಲ. ಅದನ್ನು ತೆಗೆದುಹಾಕುವ ಮೊದಲು ಯಾವ ಇನ್ಸ್ಟಾನ್ಸ್ ಮಾರ್ಗವನ್ನು ಹೊಂದಿದೆ ಎಂಬುದನ್ನು ಗುರುತಿಸಿ, ಮತ್ತು ಚಾಲನೆಯಲ್ಲಿರುವ ಡೀಮನ್ನ ಅಡಿಯಲ್ಲಿ ಫೈಲ್ಗಳನ್ನು ಅಳಿಸುವ ಬದಲು ಸೇವೆಯ ಸ್ವಂತ ಮರುಪ್ರಾಪ್ತಿ ಕಾರ್ಯಪ್ರವಾಹವನ್ನು ಬಳಸಿ.

ಸ್ವೀಕೃತಿ ಹೇಗೆ ಕಾಣುತ್ತದೆ

ನಾಲ್ಕು ಪರಿಶೀಲನೆಗಳು ವಿನ್ಯಾಸವನ್ನು ಆವರಿಸುತ್ತವೆ: ಉದ್ದೇಶಿತ ನಿಯಂತ್ರಕ ಗುರುತು ಸಂಪರ್ಕಗೊಳ್ಳುತ್ತದೆ, ಆ ಗುರುತಿಲ್ಲದ ಪ್ರಕ್ರಿಯೆ ತಿರಸ್ಕರಿಸಲ್ಪಡುತ್ತದೆ, ಎಚ್ಚರಿಕೆಯಿಲ್ಲದೆ ಸಂಪರ್ಕ ಕಡಿತಗೊಳಿಸುವ ನಿಯಂತ್ರಕದಿಂದ ಡೀಮನ್ ಬದುಕುಳಿಯುತ್ತದೆ, ಮತ್ತು ನಿಯಂತ್ರಿತ ಮರುಪ್ರಾರಂಭದ ಮೂಲಕ ಟನೆಲ್ ಇನ್ನೂ ಸಂಚಾರವನ್ನು ಸಾಗಿಸುತ್ತದೆ. ಯಶಸ್ವಿ ನಿರ್ವಹಣಾ ಸಂಪರ್ಕವು ನಿಯಂತ್ರಣ ಸಮತಲವನ್ನು ಮಾತ್ರ ಸಾಬೀತುಪಡಿಸುತ್ತದೆ. ಖಾಸಗಿ ಅಪ್ಲಿಕೇಶನ್ ಸಂಚಾರ ಕೆಲಸ ಮಾಡುತ್ತದೆಯೇ ಎಂಬುದರ ಬಗ್ಗೆ ಅದು ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಅದನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಪರೀಕ್ಷಿಸಿ. ನಾಲ್ಕು ಫಲಿತಾಂಶಗಳನ್ನು ಮುಂದಿನ ನಿರ್ವಾಹಕರು ಕಂಡುಕೊಳ್ಳಬಹುದಾದ ಸ್ಥಳದಲ್ಲಿ ಬರೆಯಿರಿ.

ನಿರ್ವಹಣಾ ಇಂಟರ್ಫೇಸ್ ದಾಖಲೆ ಏಕ-ಕ್ಲೈಂಟ್ ಮಾದರಿ ಮತ್ತು ಪ್ರೋಟೋಕಾಲ್ನ ವಿಶೇಷಾಧಿಕಾರ ಸ್ವಭಾವವನ್ನು ವಿವರಿಸುತ್ತದೆ, ಮತ್ತು ಡ್ಯಾಶ್ಬೋರ್ಡ್ ಅನ್ನು ಅದರ ಕಡೆಗೆ ತೋರಿಸುವ ಮೊದಲು ಓದಲು ಯೋಗ್ಯವಾದ ಭಾಗ ಅದೇ.