Kokių programinės įrangos vaidmenų reikia be ekrano OpenVPN šliuzui
Mažam OpenVPN šliuzui reikia apgalvotos tunelio tarnybos ir administravimo kelio, o ne kiekvieno pasirenkamo serverio vaidmens. Atskirkite tunelį nuo SSH ir PKI.
OpenVPN šliuzui skirtam kompiuteriui reikia palaikomos serverio diegimo ir programinės įrangos darbams, kuriuos jis iš tikrųjų atlieka. Diegimo meniu, siūlanti SSH, žiniatinklio prieglobą ir kitus serverio vaidmenis, nėra OpenVPN būtinų sąlygų sąrašas. Diegimas be ekrano yra visiškai pagrįstas. Svarbu atskirti tris darbus: tunelio pernešimą, prieglobos valdymą ir prisijungimo duomenų išdavimą.
Štai inventorizacijos tvarka, kurią naudoju, su patikra, užbaigiančia kiekvieną žingsnį.
1. Suteikite tunelio tarnybai atskirą paketą ir profilį
Ubuntu OpenVPN serverio vadovas naudoja distribucijos openvpn paketą su komandų eilute ir tarnybos konfigūracija. Tas pats paketas tarnauja kaip Linux klientas, o vaidmenį parenka konfigūracija.
Tai reiškia, kad kliento GUI įdiegimas nėra tai, kas paverčia prieglobą serveriu, o jo pašalinimas nėra tai, kas ją padaro be ekrano. Užsirašykite, kurį profilį skaito veikiantis egzempliorius, nes antras konfigūracijos failas tame pačiame kataloge gali būti įkeltas niekam nepastebint, o tarnybos procesas abiem atvejais praneša apie sėkmę. Kai yra du profiliai, kuris laimės, sprendžia tarnybų tvarkyklė, ir tas sprendimas priklauso jūsų užrašams, o ne spėjimui.
2. Nuspręskite administravimo kelią prieš tunelį
OpenSSH ateina iš atskiro openssh-server paketo ir veikia kaip sava tarnyba. Jis naudingas, kai administratorius turi pasiekti kompiuterį per SSH, bet OpenVPN nereikalauja SSH serverio VPN paketams keistis. Vietinė konsolė arba patvirtintas platformos valdymo kanalas yra kitas tinkamas kelias. Nuspręskite, kuo pasitikite, prieš keisdami maršrutizavimą ar filtravimą, nes naujas tunelis niekada neturėtų būti vienintelis neišbandytas būdas save suremontuoti.
3. Išduokite prisijungimo duomenis iš patvirtinto savininko
Ubuntu pavyzdys įdiegia easy-rsa kartu su OpenVPN, kad sukurtų mažą PKI, o tai yra prisijungimo duomenų išdavimo vaidmuo, o ne veikianti tunelio tarnyba. Jei organizacija jau turi patvirtintą išdavimo procesą, naudokite jį, o ne kurkite nesusijusį CA vien todėl, kad mokymo medžiagoje jis yra. Laikykite šliuzo privatų raktą ir sertifikatą atskirai nuo CA pasirašymo rakto ir sąmoningai rinkitės pasirašymo bei atsarginės kopijos vietą. Kiekvieno PKI failo kopijavimas į kiekvieną prieglobą nėra programinės įrangos reikalavimas.
4. Palikite darbalaukio papildinius darbalaukiams
NetworkManager redaktorius arba importavimo papildinys turi paskirtį kompiuteryje, kuris naudoja tą darbo eigą. Tai nėra papildoma serverio funkcija, reikalinga todėl, kad šliuzas kalba OpenVPN.
Pasirinkite vieną ryšio savininką ir nepaleiskite antros, iš darbalaukio valdomos to paties profilio kopijos.
5. Priimkite šliuzą su tikru klientu
Mažiau paketų nėra baigtas šliuzas. Serveriui vis dar reikia patvirtinto klausytojo, tapatybių, maršrutų, persiuntimo kur reikia, siauros ugniasienės politikos ir numatyto grįžimo kelio. Užsirašykite, kur pasirodo jo žurnalai ir kaip taikomi atnaujinimai, nes šie du atsakymai lemia, kaip gedimas bus diagnozuojamas vėliau.
Interneto išėjimo projektas ir privataus tinklo prieigos projektas turi skirtingus persiuntimo reikalavimus, todėl nuspręskite, kurį statote, prieš ką nors atverdami. Paleiskite vieną patvirtintą klientą ir patikrinkite numatytą išteklių, o ne tunelio indikatorių. Tada kontroliuotai paleiskite tarnybą iš naujo ir patvirtinkite automatinio paleidimo kelią, nes šliuzas, kuris pakyla tik kam nors stebint, dar neįdiegtas.