Кои софтверски улоги и се потребни на безекранска OpenVPN порта

Машината посветена на OpenVPN порта бара поддржана серверска инсталација и софтверот за работите што таа навистина ги извршува. Менито за инсталација што нуди SSH, веб-хостинг и други серверски улоги не е список на предуслови за OpenVPN. Распоредувањето без екран е сосема разумно. Важно е да се одвојат три работи: носење на тунелот, администрација на домаќинот и издавање на акредитиви.

Еве го редоследот на пописот што го користам, со проверката што го затвора секој чекор.

1. Тунелската услуга нека добие сопствен пакет и профил

Ubuntu-овиот водич за OpenVPN сервер го користи пакетот openvpn на дистрибуцијата со командна линија и конфигурација на услугата. Истиот пакет служи како Linux клиент, а улогата ја избира конфигурацијата.

Тоа значи дека инсталирањето на клиентски GUI не е она што го претвора домаќинот во сервер, а неговото отстранување не е она што го прави безекрански. Забележете кој профил го чита инстанцата што работи, бидејќи втора конфигурациска датотека во истиот директориум може да се вчита без никој да забележи, а демонот во двата случаи пријавува успех. Кога постојат два профила, сервисниот менаџер одлучува кој победува, а таа одлука припаѓа на вашите белешки, а не на претпоставка.

2. Одлучете ја административната патека пред тунелот

OpenSSH доаѓа од посебен пакет openssh-server и работи како своја услуга. Корисен е кога администраторот треба да стигне до машината преку SSH, но OpenVPN не бара SSH сервер за размена на VPN пакети. Локалната конзола или одобрениот канал за управување со платформата е друга валидна патека. Одлучете на која се потпирате пред да го промените рутирањето или филтрирањето, бидејќи новиот тунел никогаш не смее да биде единствениот неиспробан начин да се поправи себеси.

3. Издадете акредитиви од одобрениот сопственик

Примерот на Ubuntu го инсталира easy-rsa покрај OpenVPN за да изгради мал PKI, што е улога за издавање акредитиви, а не тунелска услуга што работи. Ако организацијата веќе има одобрен процес за издавање, користете го наместо да создавате неповрзан CA само затоа што упатството содржи еден. Држете го сопствениот приватен клуч и сертификат на портата одвоени од клучот за потпишување на CA и намерно изберете ја локацијата за потпишување и резервна копија. Копирањето на секоја PKI датотека на секој домаќин не е софтверски услов.

4. Оставете ги десктоп приклучоците на десктопите

Уредувачот на NetworkManager или приклучокот за увоз имаат цел на машина што го користи тој работен тек. Тоа не е дополнителна серверска функција потребна затоа што портата зборува OpenVPN.

Изберете еден сопственик за врската и не стартувајте второ, од десктоп управувано копие на истиот профил.

5. Прифатете ја портата со вистински клиент

Помалку пакети не е завршена порта. На серверот сѐ уште му требаат одобрен слушател, идентитети, рути, проследување каде што е потребно, тесна политика на огнен ѕид и предвидената повратна патека. Запишете каде се појавуваат неговите дневници и како се применуваат ажурирањата, бидејќи тие два одговора одредуваат како подоцна ќе се дијагностицира дефект.

Дизајнот со излез на интернет и дизајнот со пристап до приватна мрежа имаат различни барања за проследување, затоа одлучете кој го градите пред да отворите нешто. Подигнете еден одобрен клиент и проверете го предвидениот ресурс, а не показателот на тунелот. Потоа рестартирајте ја услугата на контролиран начин и потврдете ја патеката за автоматско стартување, бидејќи порта што се подига само додека некој гледа сѐ уште не е распоредена.