OpenVPN bez saskarnes: uzraudzīta sesija vai pārvaldīts pakalpojums

OpenVPN palaišana caur SSH to palaiž attālinātajā mašīnā, šīs mašīnas izpildes kontekstā. Tas to padara par attālinātā tīkla izmaiņu, nevis attālinātu pogas nospiešanu. Divi saprātīgi režīmi ir uzraudzīta priekšplāna sesija un pašu pārvaldīts pakalpojums, un tiem ir atšķirīga sagatavošana, atšķirīgi akreditācijas dati un atšķirīga uzvedība kļūmes gadījumā.

Divi režīmi, viens profils

Abi režīmi izmanto vienu profilu, un abi maina maršrutēšanu uz resursdatora. Atšķiras tas, kas ir klāt palaišanas brīdī, un tas, kas notiek pēc sesijas beigām.

Priekšplāna režīms ir paredzēts uzraudzītam savienojumam, kur kāds ir klāt. Pakalpojuma režīms ir paredzēts savienojumam, kuram jāpaceļas bez neviena pieteikušā. Abu sajaukšana, atstājot priekšplāna procesu darboties un vienlaikus iespējojot pakalpojumu tajā pašā profilā, ir šeit visbiežāk pats radītais bojājums.

Kas īsti ir priekšplāna sesija

Priekšplāna OpenVPN procesam jāturpina darboties, kamēr tunelis ir augšā. Initialization Sequence Completed nozīmē, ka inicializācija ir pabeigta, nevis ka jāgaida uzvednes atgriešanās. Darbvirsmas GUI paslēpj šo ilgo darbu aiz loga, un tieši tāpēc cilvēki gaida, ka SSH komanda uzvedīsies tāpat. Tā neuzvedas.

Pārbaudiet lietotnes piekļuvi atsevišķi. Aizņemts terminālis un viena žurnāla rinda nepierāda ne veiksmi, ne neveiksmi.

Kas nepieciešams neuzraudzītam pakalpojumam

Pakalpojums startē ar savu kontu, darba direktoriju un failu sistēmas ierobežojumiem, un visi tie atšķiras no jūsu čaulas. Izmantojiet skaidrus ceļus un atbilstošu īpašumtiesības, nevis paļaujieties uz to, kur nejauši stāvējāt. Dodiet vienībai restartēšanas politiku, kuru patiešām vēlaties, jo savienojuma cilpa bez atkāpšanās piepilda žurnālu un kaitina otru pusi. Pēc tam pārbaudiet, vai tā paceļas pēc pārstartēšanas, nevis pēc jūsu nākamās pieteikšanās.

Interaktīvais MFA pēc dizaina salauž neuzraudzīto gadījumu. Ja profilam vajadzīgs cilvēka ievadīts kods, tas nav neuzraudzīts pakalpojums, un saglabāts vienreizējs kods nav akreditācijas datu dizains. Izlemiet to apzināti, nevis atklājiet palaišanas laikā.

Akreditācijas dati ir četras dažādas ievades

OpenVPN rokasgrāmata atdala konsoles ievadi, akreditācijas datu failus, privātās atslēgas paroles frāzes un pārvaldības vadītu mijiedarbību. Lietotājvārda un paroles pāris ir viena lieta, un šifrētas atslēgas paroles frāze ir cita. Pārvaldības saskarne, kas pēc pieprasījuma piegādā akreditācijas datus, ir trešā. Izvēlieties mehānismu, kas atbilst jūsu autentifikācijas dizainam, nevis visu savienojiet vienā failā tāpēc, ka tas reiz nostrādāja.

Aizsargājiet profilus un žurnālus, kuros ir identitāte vai privāts materiāls. Pakalpojuma konts tos lasa, un arī ikviens ar pareizu grupas dalību.

Viens īpašnieks un atgriešanās ceļš

Saglabājiet savu SSH administrēšanas ceļu pirms plaša tuneļa maršruta iespējošanas. Pilna tuneļa konfigurācija ar miršķīgo galapunktu var atstāt mašīnu nesasniedzamu, un labošana tad prasa konsoli, kuru neesat sagatavojis. Apstiprināta ārpusjoslas konsole vai apzināta pārvaldības atgriešanās politika ir apdrošināšana.

Izvēlieties vienu konfigurācijas īpašnieku ikdienas darbībai. Automātisks pakalpojums un priekšplāna process, kas sacenšas par vienām un tām pašām saskarnēm, maršrutiem un atrisinātāja stāvokli, rada kļūmes, kas izskatās kā pakalpojumu sniedzēja problēma. Apturiet uzraudzītu izpildi ar tās parasto pārtraukumu, bet pārvaldīto — ar tā pārvaldnieku, nevis nogalinot katru procesu ar nosaukumu openvpn.

Pierakstāmais atšķirība ir vienkārša: uzraudzīta izpilde drīkst būt atkarīga no jūsu sesijas, un neuzraudzīts pakalpojums nedrīkst.