OpenVPN-Management-Socket: e Steierkanal, keng Metriken

Frot d’Management-Interface eng Kéier no engem Status an et fänkt un wéi eng Status-Port auszegesinn. Et ass et net. Soubal e Client zougelooss ass, kann en d’Steierkommandoe vum Protokoll ausginn, an de Kont, deen dee Client ausféiert, ierft alles, wat dës Kommandoe mam Daemon kënnen undoen. Et als nëmmen-Lies-Feed ze behandelen ass de Feeler, deen eng Monitoring-Integratioun an eng net authentifizéiert Konsol verwandelt.

De Glawen, an wat en kascht

De Glawen ass, datt de Management-Listener gläichwäerteg mat engem Metrik-Endpunkt ass: engem Sammler uschléissen, d’Ziler liesen, weidergoen. Tatsächlech mécht de Sammler eng Sessioun mat Steierméiglechkeeten op, an all aner Unhuel iwwer d’Deployment hänkt elo dovun of, datt dee Sammler sech gutt behëlt.

Näischt an der Interface annoncéiert e nëmmen-Lies-Modus. Et gëtt keng Observateurroll ze wielen, an e Benotzernumm an der Konfiguratioun schaaft keng.

Wat en zougeloossene Client tatsächlech hält

Den Community-Daemon akzeptéiert just een aktive Management-Client gläichzäiteg. Dee eenzelen Slot heescht, datt eng GUI, e Skript an e Monitoring-Agent net alle kënnen uschléissen; den zweete waart oder geet a Feeler, während den éischten d’Sessioun hält. Wann Ären Design gläichzäiteg Lieser unhëlt, ass en schonn falsch.

Wou en periodesche Snapshot duergeet, gëtt d’Ausgab vun der Statusdatei déi selwecht Zuelen ouni eng live Sessioun. Déi Datei an Intervallen ze schreiwen an se mat gewéinleche Dateiberechtegungen ze liesen hält de Sammler komplett baussent der Steierfläch, an dat ass d’Arrangement, dat déi meescht Monitoring tatsächlech brauch.

En eegene Socket, keen oppenen

En Unix-Domän-Socket hält de Steierwee vum Netzwierk ewech, wat déi wiesselend Tunneladress aus dem Problem hëlt. En hëlt d’Berechtegungsfro net ewech. Den Elterndossier muss vum Servicekont beschreifbar an dem Kont vum Controller erreechbar sinn, an dat sinn zwee getrennte Berechtegungen:

management /run/openvpn/office-management.sock unix /etc/openvpn/management.password
management-client-user vpn-observer
management-client-group vpn-observer

D’Passwuertdatei dréit de Management-Geheimnis an hirer éischter Linn. Schützt déi Datei wéi all aner Umeldungsinformatioun, an haalt hire Contenu aus Loggen an Support-Ticketen eraus. D’Benotzer- a Gruppebeschränkungen sinn Peer-Préifungen um Unix-Socket, net Dateisystemberechtegungen, dofir brauch de virgesinnene Prozess souwuel de Dateizougang wéi och déi passend Identitéit.

De Socket weltwäit zougänglech ze maachen, fir e Berechtegungsfeeler ze läschen, ass déi eng Korrektur, déi ee vermeide soll. En verwandelt en lokale Steierkanal an eppes, wat all Prozess um Host steiere kann.

En iwwer TCP publizéieren ass net deeselwechte Design

De Listener op en TCP-Port ze verleeën mécht en weder sécherer nach bequemer. D’Management-Passwuert gëtt am Kloertext geschéckt, dofir setzt en TCP-Listener souwuel d’Umeldungsinformatioun wéi och d’Sessioun jidderengem aus, deen de Wee ka beobachten. Fir en vun engem aneren Host z’erreechen, brauch een en autoriséierte Verwaltungs-Kanal oder en klengen lokalen Agent, deen nëmmen déi Observatiounen offréiert, déi Dir braucht.

E Passwuert iwwer eng Kloertext-Transport ass Authentifikatioun ouni Vertraulechkeet, an déi Kombinatioun ass méi schlëmm, wéi se ausgesäit, well se sech geschützt unfillt.

Startofhängegkeeten, déi Dir net gefrot hutt

Verschidde Management-Optiounen änneren de Liewenszyklus vum Daemon. Den Start unhale bis e Controller sech verbannt, oder ophalen, wann de Controller verschwënnt, mécht en optionalen Observateur zu enger haarder Ofhängegkeet. En Monitoring-Agent, deen ofstierzt, géif dann den Tunnel mat erofhuelen.

Iwwerpréift déi Optiounen, ier Dir eppes iwwer de Socket selwer eraus aktivéiert. Optional Observatioun soll optional bleiwen, an eng Restart-Politik soll net un engem Sammler hänken, dee fir Grafike bäigefüügt gouf.

Eng Socketdatei, déi no engem gescheiterten Prozess leie bleift, ass kee Beweis, datt et en Listener gëtt. Identifizéiert, wéi eng Instanz de Wee besëtzt, ier Dir en ewechhëlt, a benotzt dee eegene Widderherstelungs-Workflow vum Service, amplaz Dateien ënner engem lafenden Daemon ze läschen.

Wéi Akzeptanz ausgesäit

Véier Préifungen decken den Design: déi virgesi Controller-Identitéit verbënnt sech, e Prozess ouni déi Identitéit gëtt ofgeleent, den Daemon iwwerlieft e Controller, deen ouni Warnung trennt, an den Tunnel dréit nach ëmmer Verkéier duerch e kontrolléierte Restart. Eng erfollegräich Management-Verbindung beweist just d’Steierfläch. Se seet näischt doriwwer, ob de Verkéier vun private Applikatiounen funktionéiert, dofir test dat separat. Schreift déi véier Resultater op, wou den nächsten Operateur se ka fannen.

D’Dokumentatioun vun der Management-Interface beschreift de Modell mat engem Client an déi privilegiéiert Natur vum Protokoll, an dat ass den Deel, deen et wäert ass ze liesen, ier Dir en Dashboard drop riicht.