„Headless“ OpenVPN: prižiūrima sesija ar valdoma paslauga

OpenVPN paleidimas per SSH paleidžia jį nuotoliniame kompiuteryje, to kompiuterio vykdymo kontekste. Tai daro jį nuotolinio tinklo pakeitimu, o ne nuotoliniu mygtuko paspaudimu. Du protingi režimai yra prižiūrima priekinio plano sesija ir sava valdoma paslauga, ir jie turi skirtingą pasirengimą, skirtingus prisijungimo duomenis ir skirtingą gedimo elgesį.

Du režimai, vienas profilis

Abu režimai naudoja tą patį profilį ir abu keičia maršrutizavimą pagrindiniame kompiuteryje. Skiriasi tai, kas dalyvauja paleidžiant, ir kas nutinka pasibaigus sesijai.

Priekinio plano režimas skirtas prižiūrimai jungčiai, kai kas nors dalyvauja. Paslaugos režimas skirtas jungčiai, kuri turi pakilti be jokio prisijungusio žmogaus. Maišyti juos, paliekant veikti priekinio plano procesą ir tuo pačiu metu įjungiant paslaugą tame pačiame profilyje, yra čia dažniausia savo paties sukurta gedimas.

Kas iš tikrųjų yra priekinio plano sesija

Priekinio plano OpenVPN procesas turėtų veikti tol, kol tunelis yra aktyvus. Initialization Sequence Completed reiškia, kad inicijavimas baigtas, o ne kad reikia laukti, kol grįš komandų eilutė. Darbalaukio GUI slepia tą ilgą darbą už lango, ir būtent todėl žmonės tikisi, kad SSH komanda elgsis taip pat. Ji taip nesielgia.

Atskirai patikrinkite programos prieigą. Užimtas terminalas ir viena žurnalo eilutė neįrodo nei sėkmės, nei nesėkmės.

Ko reikia nepriežiūrai paslaugai

Paslauga startuoja su savo paskyra, darbo katalogu ir failų sistemos apribojimais, ir visi jie skiriasi nuo jūsų shell. Naudokite aiškius kelius ir tinkamą nuosavybę, o ne pasikliaukite tuo, kur atsitiktinai stovėjote. Suteikite įrenginiui tokią perkrovimo politiką, kokios tikrai norite, nes prisijungimo ciklas be atsitraukimo užpildo žurnalą ir erzina partnerį. Tada patikrinkite, ar ji pakyla po perkrovimo, o ne po kito jūsų prisijungimo.

Interaktyvus MFA pagal konstrukciją sugriauna nepriežiūros atvejį. Jei profiliui reikia žmogaus įvesto kodo, tai nėra nepriežiūros paslauga, o saugomas vienkartinis kodas nėra prisijungimo duomenų dizainas. Nuspręskite tai sąmoningai, o ne atraskite įkrovimo metu.

Prisijungimo duomenys yra keturi skirtingi įvestys

OpenVPN vadove atskiriama konsolės įvestis, prisijungimo duomenų failai, privataus rakto slaptafrazės ir valdymo valdoma sąveika. Vartotojo vardo ir slaptažodžio pora yra vienas dalykas, o šifruoto rakto slaptafrazė – kitas. Valdymo sąsaja, kuri pateikia prisijungimo duomenis pagal užklausą, yra trečia. Pasirinkite mechanizmą, atitinkantį jūsų autentifikavimo dizainą, o ne sujunkite viską į vieną failą, nes tai kartą suveikė.

Saugokite profilius ir žurnalus, kuriuose yra tapatybė ar privati medžiaga. Paslaugos paskyra juos skaito, ir bet kas, turintis tinkamą grupės narystę.

Vienas savininkas ir kelias atgal

Išsaugokite savo SSH administravimo kelią prieš įjungdami platų tunelio maršrutą. Viso tunelio konfigūracija su mirštančiu galiniu tašku gali palikti kompiuterį nepasiekiamą, o taisymas tada reikalauja konsolės, kurios nesurengėte. Patvirtinta užjuostė konsolė arba sąmoninga valdymo grįžimo politika yra draudimas.

Kasdieniniam darbui pasirinkite vieną konfigūracijos savininką. Automatinė paslauga ir priekinio plano procesas, konkuruojantys dėl tų pačių sąsajų, maršrutų ir sprendėjo būsenos, sukelia gedimus, kurie atrodo kaip tiekėjo problema. Sustabdykite prižiūrimą vykdymą įprastu pertraukimu, o valdomą – per jo valdytoją, o ne žudydami kiekvieną procesą vardu openvpn.

Užrašytinas skirtumas paprastas: prižiūrimas vykdymas gali priklausyti nuo jūsų sesijos, o nepriežiūros paslauga – ne.