Мониторсуз OpenVPN шлюзуна кандай программалык ролдор керек
Кичинекей OpenVPN шлюзуна ар бир милдеттүү эмес сервер ролу эмес, ойлонулган туннелдик кызмат жана башкаруу жолу керек. Туннелди SSH жана PKIден бөлүңүз.
OpenVPN шлюзуна арналган машинага колдоого алынган сервер орнотуусу жана ал чынында аткарган иштерге программалык камсыздоо керек. SSH, веб-хостинг жана башка сервер ролдорун сунуш кылган орнотуу менюсу OpenVPN шарттарынын тизмеси эмес. Мониторсуз жайгаштыруу толук акылга сыярлык. Маанилүүсү — үч ишти бөлүү: туннелди ташуу, хостту башкаруу жана каттоо маалыматтарын берүү.
Бул мен колдонгон каттоо тартиби, ар бир кадамды жапкан текшерүү менен.
1. Туннелдик кызматка өзүнүн пакети жана профилин бериңиз
Ubuntuнун OpenVPN серверинин колдонмосу дистрибутивдин openvpn пакетин буйрук сабы жана кызмат конфигурациясы менен колдонот. Ошол эле пакет Linux кардары катары кызмат кылат, ал эми ролду конфигурация тандайт.
Бул кардар GUIсин орнотуу хостту серверге айландырбайт, аны алып салуу аны мониторсуз кылбайт дегенди билдирет. Иштеп жаткан нуска кайсы профилди окуганын жазып коюңуз, анткени ошол папкадагы экинчи конфигурация файлы эч ким байкабастан жүктөлүшү мүмкүн, ал эми демон эки учурда тең ийгилик жөнүндө билдирет. Эки профиль болгондо кайсынысы жеңээрин кызмат менеджери чечет, жана бул чечим божомолго эмес, сиздин жазууларыңызга таандык.
2. Башкаруу жолун туннелден мурун чечиңиз
OpenSSH өзүнчө openssh-server пакетинен келет жана өз кызматы катары иштейт. Администратор машинага SSH аркылуу жетүүсү керек болгондо пайдалуу, бирок OpenVPN VPN пакеттерин алмашуу үчүн SSH серверин талап кылбайт. Жергиликтүү консоль же бекитилген платформа башкаруу каналы — дагы бир жарактуу жол. Маршруттоону же чыпкалоону өзгөртүүдөн мурун кайсынысына таянаарыңызды чечиңиз, анткени жаңы туннел өзүн оңдоонун жалгыз сыналбаган жолу болбошу керек.
3. Каттоо маалыматтарын бекитилген ээсинен бериңиз
Ubuntu мисалы кичинекей PKI куруу үчүн OpenVPNдин жанына easy-rsa орнотот, бул иштеп жаткан туннелдик кызмат эмес, каттоо маалыматтарын берүү ролу. Эгер уюмда мурунтан бекитилген берүү процесси болсо, окуу куралында бар деп байланышсыз CA түзүүнүн ордуна ошону колдонуңуз. Шлюздун өз жеке ачкычын жана сертификатын CA кол коюу ачкычынан өзүнчө сактаңыз, кол коюу жана камдык көчүрмө ордун атайын тандаңыз. Ар бир PKI файлын ар бир хостко көчүрүү программалык талап эмес.
4. Иш такта плагиндерин иш такталарга калтырыңыз
NetworkManager редактору же импорт плагини ушул жумуш агымын колдонгон машинада максатка ээ. Шлюз OpenVPN сүйлөйт деп керек болгон кошумча сервер функциясы эмес.
Байланышка бир ээсин тандаңыз жана ошол профилдин экинчи, иш тактадан башкарылуучу көчүрмөсүн баштабаңыз.
5. Шлюзду чыныгы кардар менен кабыл алыңыз
Аз пакет — даяр шлюз эмес. Серверге дагы эле бекитилген угуучу, идентификаторлор, маршруттар, керек жерде кайра жиберүү, тар тармактык калкан саясаты жана көздөлгөн кайтуу жолу керек. Анын журналдары кайда пайда болорун жана жаңыртуулар кантип колдонуларын жазыңыз, анткени бул эки жооп катаанын кийин кантип диагностикаланарын аныктайт.
Интернетке чыгуу долбоору жана жеке тармакка кирүү долбоору ар башка кайра жиберүү талаптарына ээ, ошондуктан бир нерсени ачпастан мурун кайсынысын куруп жатканыңызды чечиңиз. Бир бекитилген кардарды көтөрүп, туннел көрсөткүчүнүн ордуна көздөлгөн ресурсту текшериңиз. Андан кийин кызматты көзөмөлдүү түрдө кайра баштап, көзөмөлсүз башталуу жолун ырастаңыз, анткени кимдир бирөө карап турганда гана көтөрүлгөн шлюз али жайгаштырылган эмес.