OpenVPN pārvaldības ligzda: vadības kanāls, nevis metrikas

Vienreiz pajautājiet pārvaldības saskarnei statusu, un tā sāk izskatīties kā statusa ports. Bet tā nav. Kad klients ir pieņemts, tas var izdot protokola vadības komandas, un konts, kas palaiž šo klientu, manto visu, ko šīs komandas var nodarīt dēmonam. Uztvert to kā tikai lasāmu plūsmu ir kļūda, kas pārraudzības integrāciju pārvērš konsolē bez autentifikācijas.

Pārliecība, un cik tā maksā

Pārliecība ir tāda, ka pārvaldības klausītājs ir līdzvērtīgs metrikas galapunktam: pievienojiet savācēju, nolasiet skaitītājus, dodieties tālāk. Patiesībā savācējs atver sesiju ar vadības iespējām, un katrs cits jūsu pieņēmums par izvietošanu tagad ir atkarīgs no tā, vai šis savācējs uzvedīsies labi.

Nekas saskarnē nereklamē tikai lasāmu režīmu. Nav novērotāja lomas, ko izvēlēties, un lietotājvārds konfigurācijā to neizveido.

Ko pieņemts klients patiešām tur

Kopienas dēmons pieņem tikai vienu aktīvu pārvaldības klientu vienlaikus. Šī vienīgā vieta nozīmē, ka GUI, skripts un pārraudzības aģents nevar pieslēgties visi; otrais gaida vai neizdodas, kamēr pirmais tur sesiju. Ja jūsu dizains paredz vienlaicīgus lasītājus, tas jau ir nepareizs.

Kur pietiek ar periodisku momentuzņēmumu, statusa faila izvade dod tos pašus skaitļus bez dzīvas sesijas. Šī faila rakstīšana ar intervāliem un lasīšana ar parastām failu atļaujām pilnībā tur savācēju ārpus vadības plaknes, un tā ir kārtība, kas lielākajai daļai pārraudzības patiešām ir vajadzīga.

Pašu ligzda, nevis atvērta

Unix domēna ligzda tur vadības ceļu ārpus tīkla, kas no problēmas izņem mainīgo tuneļa adresi. Tas neizņem atļauju jautājumu. Vecākkatalogam jābūt rakstāmam pakalpojuma kontam un sasniedzamam kontroliera kontam, un tās ir divas atsevišķas atļaujas:

management /run/openvpn/office-management.sock unix /etc/openvpn/management.password
management-client-user vpn-observer
management-client-group vpn-observer

Paroles fails pirmajā rindā satur pārvaldības noslēpumu. Aizsargājiet šo failu kā jebkuru citu akreditācijas datu kopumu un turiet tā saturu ārpus žurnāliem un atbalsta pieteikumiem. Lietotāja un grupas ierobežojumi ir vienaudžu pārbaudes Unix ligzdā, nevis failu sistēmas atļaujas, tāpēc paredzētajam procesam ir vajadzīga gan faila piekļuve, gan atbilstošā identitāte.

Padarīt ligzdu pieejamu visai pasaulei, lai novērstu atļauju kļūdu, ir vienīgais labojums, no kura jāizvairās. Tas vietējo vadības kanālu pārvērš kaut kā tādā, ko var vadīt jebkurš procesa resursdatorā.

Publicēšana caur TCP nav tas pats dizains

Klausītāja pārvietošana uz TCP portu nepadara to drošāku vai ērtāku. Pārvaldības parole tiek sūtīta atklātā tekstā, tāpēc TCP klausītājs atklāj gan akreditācijas datus, gan sesiju ikvienam, kas var novērot ceļu. Lai tam piekļūtu no cita resursdatora, ir vajadzīgs autorizēts administrēšanas kanāls vai neliels vietējs aģents, kas atklāj tikai nepieciešamos novērojumus.

Parole atklāta teksta pārraidē ir autentifikācija bez konfidencialitātes, un šī kombinācija ir sliktāka, nekā izskatās, jo tā šķiet aizsargāta.

Starta atkarības, ko neprasījāt

Vairākas pārvaldības opcijas maina dēmona dzīves ciklu. Starta aizturēšana, līdz kontrolieris pievienojas, vai pārtraukšana, kad kontrolieris pazūd, padara izvēles novērotāju par stingru atkarību. Tad avarējošs pārraudzības aģents novilktu līdzi arī tuneli.

Pārskatiet šīs opcijas pirms iespējojat ko citu ārpus pašas ligzdas. Izvēles novērošanai jāpaliek izvēles, un restartēšanas politiku nevajadzētu saistīt ar savācēju, kas pievienots grafiku dēļ.

Ligzdas fails, kas palicis pēc neizdevušās procesa, nav pierādījums, ka klausītājs pastāv. Pirms tā noņemšanas nosakiet, kura instance pārvalda ceļu, un izmantojiet pakalpojuma paša atkopšanas plūsmu, nevis dzēsiet failus zem darbojošās dēmona.

Kā izskatās pieņemšana

Dizainu aptver četras pārbaudes: paredzētā kontroliera identitāte pievienojas, process bez šīs identitātes tiek noraidīts, dēmons pārdzīvo kontrolieri, kas atvienojas bez brīdinājuma, un tunelis joprojām pārvadā datplūsmu pēc kontrolētas restartēšanas. Veiksmīgs pārvaldības savienojums pierāda tikai vadības plakni. Tas neko nepasaka par to, vai darbojas privāto lietotņu datplūsma, tāpēc pārbaudiet to atsevišķi. Pierakstiet četrus rezultātus tur, kur tos varēs atrast nākamais operators.

Pārvaldības saskarnes dokumentācija apraksta viena klienta modeli un protokola privilēģēto raksturu, un tā ir daļa, ko ir vērts izlasīt pirms vērst uz to infopanelis.