Kādas programmatūras lomas nepieciešamas bezekrāna OpenVPN vārtejai

OpenVPN vārtejai veltītai mašīnai nepieciešama atbalstīta servera instalācija un programmatūra tiem darbiem, ko tā faktiski veic. Instalētāja izvēlne, kas piedāvā SSH, tīmekļa mitināšanu un citas servera lomas, nav OpenVPN priekšnosacījumu saraksts. Izvietošana bez ekrāna ir pilnīgi saprātīga. Svarīgi ir atdalīt trīs darbus: tuneļa pārnēsāšanu, resursdatora administrēšanu un akreditācijas datu izsniegšanu.

Šeit ir inventarizācijas secība, ko izmantoju, ar pārbaudi, kas noslēdz katru soli.

1. Dodiet tuneļa pakalpojumam savu pakotni un profilu

Ubuntu OpenVPN servera rokasgrāmata izmanto distribūcijas openvpn pakotni ar komandrindu un pakalpojuma konfigurāciju. Tā pati pakotne darbojas kā Linux klients, un lomu izvēlas konfigurācija.

Tas nozīmē, ka klienta GUI instalēšana nav tas, kas pārvērš resursdatoru par serveri, un tā noņemšana nav tas, kas padara to bez ekrāna. Pierakstiet, kuru profilu lasa darbojošā instance, jo otru konfigurācijas failu tajā pašā mapē var ielādēt nemanot, un dēmons abos gadījumos ziņo par panākumiem. Ja ir divi profili, to, kurš uzvarēs, izlemj pakalpojumu pārvaldnieks, un šis lēmums pieder jūsu piezīmēm, nevis minējumam.

2. Izlemiet administrēšanas ceļu pirms tuneļa

OpenSSH nāk no atsevišķas openssh-server pakotnes un darbojas kā savs pakalpojums. Tas ir noderīgs, ja administratoram mašīna jāsasniedz pa SSH, bet OpenVPN VPN pakešu apmaiņai nav nepieciešams SSH serveris. Vietējā konsole vai apstiprināts platformas pārvaldības kanāls ir cits derīgs ceļš. Izlemiet, uz kuru paļaujaties, pirms maināt maršrutēšanu vai filtrēšanu, jo jaunam tunelim nekad nevajadzētu būt vienīgajam nepārbaudītajam veidam, kā sevi salabot.

3. Izsniedziet akreditācijas datus no apstiprinātā īpašnieka

Ubuntu piemērs instalē easy-rsa līdzās OpenVPN, lai izveidotu nelielu PKI, un tas ir akreditācijas datu izsniegšanas loma, nevis darbojošs tuneļa pakalpojums. Ja organizācijai jau ir apstiprināts izsniegšanas process, izmantojiet to, nevis veidojiet nesaistītu CA tikai tāpēc, ka apmācībā tāds ir. Turiet vārtejas pašas privāto atslēgu un sertifikātu atsevišķi no CA parakstīšanas atslēgas un apzināti izvēlieties parakstīšanas un dublējuma vietu. Katras PKI faila kopēšana uz katru resursdatoru nav programmatūras prasība.

4. Atstājiet darbvirsmas spraudņus darbvirsmām

NetworkManager redaktoram vai importēšanas spraudnim ir mērķis mašīnā, kas izmanto šo darbplūsmu. Tā nav papildu servera funkcija, kas nepieciešama tāpēc, ka vārteja runā OpenVPN.

Izvēlieties vienu savienojuma īpašnieku un nepalaidiet otru, no darbvirsmas pārvaldītu tā paša profila kopiju.

5. Pieņemiet vārteju ar īstu klientu

Mazāk pakešu nav pabeigta vārteja. Serverim joprojām nepieciešams apstiprināts klausītājs, identitātes, maršruti, pāradresācija, kur nepieciešams, šaura ugunsmūra politika un paredzētais atgriešanās ceļš. Pierakstiet, kur parādās tā žurnāli un kā tiek piemēroti atjauninājumi, jo šīs divas atbildes nosaka, kā vēlāk tiks diagnosticēts bojājums.

Interneta izejas projektam un privātā tīkla piekļuves projektam ir atšķirīgas pāradresācijas prasības, tāpēc izlemiet, kuru būvējat, pirms kaut ko atverat. Palaidiet vienu apstiprinātu klientu un pārbaudiet paredzēto resursu, nevis tuneļa indikatoru. Pēc tam kontrolēti restartējiet pakalpojumu un apstipriniet automātiskās palaišanas ceļu, jo vārteja, kas paceļas tikai tad, kad kāds skatās, vēl nav izvietota.