OpenVPN башкаруу сокети: башкаруу каналы, метрикалар эмес

Башкаруу интерфейсинен бир жолу статус сураңыз — ал статус портуна окшоп баштайт. Бирок андай эмес. Кардар кабыл алынгандан кийин протоколдун башкаруу буйруктарын бере алат, жана ошол кардарды иштеткен эсеп бул буйруктар демонго жасай ала тургандын баарын мураска алат. Аны окууга гана арналган агым катары кароо — мониторинг интеграциясын аутентификациясыз консолго айландырган ката.

Ишеним жана анын баасы

Ишеним: башкаруу угуучусу метриканын акыркы чекитине барабар — коллекторду туташтырыңыз, эсептегичтерди окуңуз, андан ары өтүңүз. Чындыгында коллектор башкаруу мүмкүнчүлүктөрү бар сессия ачат, жана жайгаштыруу тууралуу сиздин башка божомолуңуз азыр ошол коллектордун жакшы иштешине көз каранды.

Интерфейсте окууга гана арналган режим жөнүндө эч нерсе жарнамаланбайт. Тандоого байкоочу ролу жок, жана конфигурациядагы колдонуучу аты аны түзбөйт.

Кабыл алынган кардар чындыгында эмнени кармайт

Коомчулук демону бир убакта бир гана активдүү башкаруу кардарын кабыл алат. Бул бир уя GUI, скрипт жана мониторинг агенти баары бирге туташа албастыгын билдирет; биринчиси сессияны кармап турганда экинчиси күтөт же ийгиликсиз болот. Эгер долбооруңуз бир мезгилдеги окурмандарды болжолдосо, ал буга чейин эле туура эмес.

Мезгилдик сүрөт жетиштүү болгон жерде, статус файлынын чыгышы тирүү сессиясыз эле ошол эле сандарды берет. Ошол файлды аралык менен жазып, аны кадимки файл укуктары менен окуу коллекторду башкаруу тегиздигинен толук сыртта кармайт, жана бул көпчүлүк мониторингге чындыгында керек болгон жайгашуу.

Өз сокети, ачык эмес

Unix домендик сокети башкаруу жолун тармактан сыртта кармайт, бул маселеден өзгөрүп турган туннель дарегин алып салат. Ал укук маселесин алып салбайт. Аталык каталог кызмат эсеби үчүн жазылуучу жана контроллердун эсеби үчүн жеткиликтүү болушу керек, жана бул эки өзүнчө укук:

management /run/openvpn/office-management.sock unix /etc/openvpn/management.password
management-client-user vpn-observer
management-client-group vpn-observer

Сырсөз файлы башкаруу сырын биринчи сабында кармайт. Бул файлды башка ар кандай күбөлүктөй коргоңуз, жана анын мазмунун журналдар менен колдоо билеттеринен сыртта кармаңыз. Колдонуучу жана топ чектөөлөрү Unix сокетиндеги теңдик текшерүүлөрү, файлдык системанын укуктары эмес, ошондуктан көздөлгөн процесс файлга жетүүнү да, тиешелүү инсандыкты да талап кылат.

Укук катасын жоюу үчүн сокетти бүт дүйнөгө ачуу — бул жалгыз түзөтүү, андан качуу керек. Ал жергиликтүү башкаруу каналын хосттогу каалаган процесс башкара ала турган нерсеге айландырат.

TCP аркылуу жарыялоо — ошол эле долбоор эмес

Угуучуну TCP портуна которуу аны коопсуз же ыңгайлуу кылбайт. Башкаруу сырсөзү ачык текст менен жөнөтүлөт, ошондуктан TCP угуучусу күбөлүктү да, сессияны да жолду байкай алган ар кимге ачат. Ага башка хосттон жетүү үчүн ыйгарым укуктуу административдик канал же сизге керектүү байкоолорду гана көрсөткөн кичинекей жергиликтүү агент керек.

Ачык текст менен ташуудагы сырсөз — купуялуулуксуз аутентификация, жана бул айкалыш көрүнгөндөн жаман, анткени корголгондой сезилет.

Сиз сурабаган иштетүү көз карандылыктары

Бир нече башкаруу опциясы демондун жашоо циклин өзгөртөт. Иштетүүнү контроллер туташканга чейин кармоо, же контроллер жок болгондо токтотуу — кошумча байкоочуну катуу көз карандылыкка айландырат. Ошондо кулаган мониторинг агенти туннелди да өзү менен кошо түшүрөт.

Сокеттен башка нерсени иштетүүдөн мурун ошол опцияларды карап чыгыңыз. Кошумча байкоо кошумча бойдон калышы керек, жана кайра иштетүү саясаты графиктер үчүн кошулган коллекторго байланбашы керек.

Ийгиликсиз процессен кийин калган сокет файлы — угуучунун бар экендигинин далили эмес. Аны жок кылардан мурун кайсы инстанция жолго ээ экенин аныктаңыз, жана иштеп жаткан демондун астындагы файлдарды өчүрүүнүн ордуна кызматтын өзүнүн калыбына келтирүү агымын колдонуңуз.

Кабыл алуу кандай көрүнөт

Төрт текшерүү долбоорду камтыйт: көздөлгөн контроллер инсандыгы туташат, ошол инсандыксыз процесс четке кагылат, демон эскертүүсүз ажыраган контроллердон аман калат, жана көзөмөлдөнгөн кайра иштетүү аркылуу туннель дагы эле трафикти ташыйт. Ийгиликтүү башкаруу байланышы башкаруу тегиздигин гана далилдейт. Ал жеке колдонмолордун трафиги иштегени тууралуу эч нерсе айтпайт, ошондуктан аны өзүнчө текшериңиз. Төрт натыйжаны кийинки оператор таба ала турган жерге жазыңыз.

Башкаруу интерфейсинин документтери бир кардардын модели жана протоколдун артыкчылыктуу мүнөзү тууралуу баяндайт, жана панелди ага багыттаардан мурун окууга татыктуу бөлүк — ушул.