OpenVPN без интерфејс: надгледувана сесија или управувана услуга

Стартувањето на OpenVPN преку SSH го стартува на далечинскиот компјутер, во контекстот на извршување на тој компјутер. Тоа го прави промена на далечинската мрежа, а не само далечинско притискање копче. Двата разумни режима се надгледувана сесија во преден план и сопствена услуга, и тие имаат различно подготвување, различни акредитиви и различно однесување при грешка.

Два режима, еден профил

Двата режима го користат истиот профил и двата ја менуваат рутирањето на домаќинот. Разликата е кој е присутен при стартувањето и што се случува по крајот на сесијата.

Режимот во преден план е за надгледувана врска каде некој е присутен. Режимот на услуга е за врска што треба да се крене без никој да е најавен. Нивното мешање, со оставање на процес во преден план да работи и истовремено овозможување услуга на истиот профил, е најчестата самонанесена дефект тука.

Што е навистина сесијата во преден план

Процесот OpenVPN во преден план треба да продолжи да работи додека тунелот е активен. Initialization Sequence Completed значи дека иницијализацијата завршила, а не дека треба да чекате враќање на командната линија. Десктоп GUI-то сѐ уште ја крие таа долга работа зад прозорец, и токму затоа луѓето очекуваат SSH командата да се однесува исто. Не се однесува така.

Проверете го пристапот на апликацијата одделно. Зафатен терминал и една линија во дневникот не докажуваат ниту успех, ниту неуспех.

Што и е потребно на ненадгледувана услуга

Услугата стартува со сопствена сметка, работен директориум и ограничувања на датотечниот систем, и сето тоа се разликува од вашата школка. Користете експлицитни патеки и соодветна сопственост наместо да се потпирате на тоа каде случајно стоевте. Дајте и на единицата политика за рестартирање што навистина ја сакате, бидејќи јамката за поврзување без отстапување го полни дневникот и го нервира партнерот. Потоа проверете дека се крева по рестартирање, а не по вашето следно најавување.

Интерактивната MFA го крши ненадгледуваниот случај по дизајн. Ако профилот бара код што го пишува човек, тоа не е ненадгледувана услуга, а зачуван еднократен код не е дизајн на акредитиви. Одлучете го тоа свесно наместо да го откриете при подигање.

Акредитивите се четири различни влеза

OpenVPN има прирачник што ги одделува конзолниот внес, датотеките со акредитиви, фразите за приватниот клуч и интеракцијата управувана од менаџментот. Парот корисничко име и лозинка е едно, а фразата на шифриран клуч е друго. Интерфејсот за управување што дава акредитиви при барање е трет. Изберете механизам што одговара на вашиот дизајн на автентикација наместо да споите сѐ во една датотека затоа што тоа еднаш проработело.

Заштитете ги профилите и дневниците што носат идентитет или приватен материјал. Сметката на услугата ги чита, како и секој со правилно членство во група.

Еден сопственик и пат за враќање

Зачувајте ја вашата SSH административна патека пред да овозможите широка рута на тунелот. Конфигурација на целосен тунел со крајна точка што умира може да го остави компјутерот недостапен, а поправката тогаш бара конзола што не сте ја обезбедиле. Одобрена конзола надвор од опсегот или свесна политика за враќање на управувањето е осигурувањето.

Изберете еден сопственик на конфигурацијата за рутинско работење. Автоматска услуга и процес во преден план што се натпреваруваат за истите интерфејси, рути и состојба на резолверот создаваат дефекти што изгледаат како проблем на добавувачот. Запрете го надгледуваното извршување со неговото нормално прекинување, а управуваното преку неговиот менаџер наместо да убиете секој процес по име openvpn.

Разликата што треба да се запише е едноставна: надгледуваното извршување може да зависи од вашата сесија, а ненадгледуваната услуга не смее.