OpenVPN മാനേജ്മെന്റ് സോക്കറ്റ്: നിയന്ത്രണ ചാനൽ, മെട്രിക്സ് അല്ല

മാനേജ്മെന്റ് ഇന്റർഫേസിനോട് ഒരിക്കൽ സ്റ്റാറ്റസ് ചോദിക്കുക, അത് ഒരു സ്റ്റാറ്റസ് പോർട്ട് പോലെ തോന്നിത്തുടങ്ങും. എന്നാൽ അതല്ല. ഒരു ക്ലയന്റ് സ്വീകരിക്കപ്പെട്ടാൽ അതിന് പ്രോട്ടോക്കോളിന്റെ നിയന്ത്രണ കമാൻഡുകൾ പുറപ്പെടുവിക്കാം, ആ ക്ലയന്റ് പ്രവർത്തിപ്പിക്കുന്ന അക്കൗണ്ടിന് ആ കമാൻഡുകൾക്ക് ഡീമണോട് ചെയ്യാനാകുന്നതെല്ലാം പാരമ്പര്യമായി ലഭിക്കും. അതിനെ വായന-മാത്ര ഫീഡായി കാണുന്നതാണ് മോണിട്ടറിംഗ് ഇന്റഗ്രേഷനെ ഓതന്റിക്കേഷനില്ലാത്ത കൺസോളാക്കി മാറ്റുന്ന തെറ്റ്.

വിശ്വാസം, അതിന്റെ വില

മാനേജ്മെന്റ് ലിസണർ ഒരു മെട്രിക്സ് എൻഡ്പോയിന്റിന് തുല്യമാണെന്നതാണ് വിശ്വാസം: ഒരു കളക്ടർ ഘടിപ്പിക്കുക, കൗണ്ടറുകൾ വായിക്കുക, മുന്നോട്ട് പോകുക. യഥാർത്ഥത്തിൽ കളക്ടർ നിയന്ത്രണ കഴിവുകളുള്ള ഒരു സെഷൻ തുറക്കുന്നു, ഡിപ്ലോയ്മെന്റിനെക്കുറിച്ചുള്ള നിങ്ങളുടെ മറ്റെല്ലാ ധാരണകളും ഇപ്പോൾ ആ കളക്ടർ നന്നായി പെരുമാറുന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു.

ഇന്റർഫേസിൽ ഒന്നും വായന-മാത്ര മോഡ് പരസ്യപ്പെടുത്തുന്നില്ല. തിരഞ്ഞെടുക്കാൻ ഒരു നിരീക്ഷക റോളുമില്ല, കോൺഫിഗറേഷനിലെ ഒരു ഉപയോക്തൃനാമം അത് സൃഷ്ടിക്കുന്നുമില്ല.

സ്വീകരിച്ച ക്ലയന്റ് യഥാർത്ഥത്തിൽ എന്താണ് കൈവശം വയ്ക്കുന്നത്

കമ്മ്യൂണിറ്റി ഡീമൺ ഒരു സമയത്ത് ഒരു സജീവ മാനേജ്മെന്റ് ക്ലയന്റ് മാത്രം സ്വീകരിക്കുന്നു. ആ ഒരു സ്ലോട്ട് എന്നാൽ GUI, സ്ക്രിപ്റ്റ്, മോണിട്ടറിംഗ് ഏജന്റ് എന്നിവയ്ക്കെല്ലാം ഒരുമിച്ച് കണക്റ്റ് ചെയ്യാനാകില്ല; ആദ്യത്തേത് സെഷൻ പിടിച്ചിരിക്കുമ്പോൾ രണ്ടാമത്തേത് കാത്തിരിക്കുന്നു അല്ലെങ്കിൽ പരാജയപ്പെടുന്നു. നിങ്ങളുടെ ഡിസൈൻ ഒരേസമയം വായനക്കാരെ അനുമാനിക്കുന്നുവെങ്കിൽ, അത് ഇതിനകം തെറ്റാണ്.

ഇടവേളയിലുള്ള സ്നാപ്പ്ഷോട്ട് മതിയാകുന്നിടത്ത്, സ്റ്റാറ്റസ് ഫയൽ ഔട്ട്പുട്ട് ലൈവ് സെഷൻ ഇല്ലാതെ അതേ സംഖ്യകൾ നൽകുന്നു. ആ ഫയൽ ഇടവേളകളിൽ എഴുതി സാധാരണ ഫയൽ അനുമതികളോടെ വായിക്കുന്നത് കളക്ടറെ നിയന്ത്രണ തലത്തിൽ നിന്ന് പൂർണ്ണമായും പുറത്ത് നിർത്തുന്നു, മിക്ക മോണിട്ടറിംഗിനും യഥാർത്ഥത്തിൽ വേണ്ടത് ഈ ക്രമീകരണമാണ്.

സ്വന്തം സോക്കറ്റ്, തുറന്നതല്ല

Unix ഡൊമെയിൻ സോക്കറ്റ് നിയന്ത്രണ പാതയെ നെറ്റ്വർക്കിൽ നിന്ന് പുറത്ത് നിർത്തുന്നു, ഇത് മാറുന്ന ടണൽ വിലാസത്തെ പ്രശ്നത്തിൽ നിന്ന് നീക്കം ചെയ്യുന്നു. അത് അനുമതി ചോദ്യം നീക്കം ചെയ്യുന്നില്ല. മാതൃ ഡയറക്ടറി സേവന അക്കൗണ്ടിന് എഴുതാനാകുന്നതും കൺട്രോളറുടെ അക്കൗണ്ടിന് എത്തിച്ചേരാനാകുന്നതുമായിരിക്കണം, ഇവ രണ്ട് വെവ്വേറെ അനുമതികളാണ്:

management /run/openvpn/office-management.sock unix /etc/openvpn/management.password
management-client-user vpn-observer
management-client-group vpn-observer

പാസ്വേഡ് ഫയൽ അതിന്റെ ആദ്യ വരിയിൽ മാനേജ്മെന്റ് രഹസ്യം വഹിക്കുന്നു. ആ ഫയൽ മറ്റേതെങ്കിലും ക്രെഡൻഷ്യലുകൾ പോലെ സംരക്ഷിക്കുക, അതിന്റെ ഉള്ളടക്കം ലോഗുകളിൽ നിന്നും സപ്പോർട്ട് ടിക്കറ്റുകളിൽ നിന്നും അകറ്റി നിർത്തുക. ഉപയോക്തൃ, ഗ്രൂപ്പ് നിയന്ത്രണങ്ങൾ Unix സോക്കറ്റിലെ പിയർ പരിശോധനകളാണ്, ഫയൽസിസ്റ്റം അനുമതികളല്ല, അതിനാൽ ഉദ്ദേശിച്ച പ്രക്രിയയ്ക്ക് ഫയൽ പ്രവേശനവും പൊരുത്തമുള്ള ഐഡന്റിറ്റിയും രണ്ടും വേണം.

അനുമതി പിശക് മായ്ക്കാൻ സോക്കറ്റ് ലോകത്തിന് മുഴുവൻ തുറന്നുകൊടുക്കുന്നതാണ് ഒഴിവാക്കേണ്ട ഏക പരിഹാരം. അത് ഒരു പ്രാദേശിക നിയന്ത്രണ ചാനലിനെ ഹോസ്റ്റിലെ ഏത് പ്രക്രിയയ്ക്കും നിയന്ത്രിക്കാനാകുന്ന ഒന്നാക്കി മാറ്റുന്നു.

TCP വഴി പ്രസിദ്ധീകരിക്കുന്നത് അതേ ഡിസൈനല്ല

ലിസണറെ ഒരു TCP പോർട്ടിലേക്ക് മാറ്റുന്നത് അതിനെ കൂടുതൽ സുരക്ഷിതമോ സൗകര്യപ്രദമോ ആക്കുന്നില്ല. മാനേജ്മെന്റ് പാസ്വേഡ് വ്യക്തമായ ടെക്സ്റ്റിൽ അയയ്ക്കുന്നു, അതിനാൽ TCP ലിസണർ ക്രെഡൻഷ്യലും സെഷനും പാത നിരീക്ഷിക്കാനാകുന്ന ഏവർക്കും വെളിപ്പെടുത്തുന്നു. മറ്റൊരു ഹോസ്റ്റിൽ നിന്ന് അതിൽ എത്താൻ അധികാരമുള്ള അഡ്മിനിസ്ട്രേഷൻ ചാനൽ, അല്ലെങ്കിൽ നിങ്ങൾക്ക് ആവശ്യമായ നിരീക്ഷണങ്ങൾ മാത്രം വെളിപ്പെടുത്തുന്ന ഒരു ചെറിയ പ്രാദേശിക ഏജന്റ് വേണം.

വ്യക്തമായ ടെക്സ്റ്റ് ഗതാഗതത്തിലുള്ള പാസ്വേഡ് രഹസ്യാത്മകതയില്ലാത്ത ഓതന്റിക്കേഷനാണ്, ആ സംയോജനം സംരക്ഷിതമെന്ന് തോന്നുന്നതിനാൽ കാഴ്ചയിലുള്ളതിനേക്കാൾ മോശമാണ്.

നിങ്ങൾ ആവശ്യപ്പെടാത്ത സ്റ്റാർട്ടപ്പ് ആശ്രിതത്വങ്ങൾ

നിരവധി മാനേജ്മെന്റ് ഓപ്ഷനുകൾ ഡീമണിന്റെ ജീവിതചക്രം മാറ്റുന്നു. ഒരു കൺട്രോളർ കണക്റ്റ് ചെയ്യുന്നതുവരെ സ്റ്റാർട്ടപ്പ് പിടിച്ചുവയ്ക്കുന്നതോ കൺട്രോളർ അപ്രത്യക്ഷമാകുമ്പോൾ അവസാനിപ്പിക്കുന്നതോ ഒരു ഐച്ഛിക നിരീക്ഷകനെ കടുത്ത ആശ്രിതത്വമാക്കി മാറ്റുന്നു. അപ്പോൾ തകരുന്ന ഒരു മോണിട്ടറിംഗ് ഏജന്റ് ടണലും തന്നോടൊപ്പം വീഴ്ത്തും.

സോക്കറ്റ് ഒഴികെ എന്തും സജീവമാക്കുന്നതിന് മുമ്പ് ആ ഓപ്ഷനുകൾ അവലോകനം ചെയ്യുക. ഐച്ഛിക നിരീക്ഷണം ഐച്ഛികമായി തന്നെ തുടരണം, റീസ്റ്റാർട്ട് നയം ഗ്രാഫുകൾക്കായി ചേർത്ത കളക്ടറുമായി ബന്ധിപ്പിക്കരുത്.

പരാജയപ്പെട്ട ഒരു പ്രക്രിയയ്ക്ക് ശേഷം അവശേഷിക്കുന്ന സോക്കറ്റ് ഫയൽ ഒരു ലിസണർ ഉണ്ടെന്നതിന് തെളിവല്ല. അത് നീക്കം ചെയ്യുന്നതിന് മുമ്പ് ഏത് ഇൻസ്റ്റൻസാണ് പാത കൈവശം വയ്ക്കുന്നതെന്ന് തിരിച്ചറിയുക, പ്രവർത്തിക്കുന്ന ഡീമണിന് കീഴിലുള്ള ഫയലുകൾ ഇല്ലാതാക്കുന്നതിന് പകരം സേവനത്തിന്റെ സ്വന്തം വീണ്ടെടുക്കൽ പ്രവാഹം ഉപയോഗിക്കുക.

സ്വീകരണം എങ്ങനെ കാണുന്നു

നാല് പരിശോധനകൾ ഡിസൈൻ ഉൾക്കൊള്ളുന്നു: ഉദ്ദേശിച്ച കൺട്രോളർ ഐഡന്റിറ്റി കണക്റ്റ് ചെയ്യുന്നു, ആ ഐഡന്റിറ്റി ഇല്ലാത്ത പ്രക്രിയ നിരസിക്കപ്പെടുന്നു, മുന്നറിയിപ്പില്ലാതെ വിച്ഛേദിക്കുന്ന കൺട്രോളറിൽ നിന്ന് ഡീമൺ അതിജീവിക്കുന്നു, നിയന്ത്രിത റീസ്റ്റാർട്ടിലൂടെ ടണൽ ഇപ്പോഴും ട്രാഫിക് വഹിക്കുന്നു. വിജയകരമായ ഒരു മാനേജ്മെന്റ് കണക്ഷൻ നിയന്ത്രണ തലം മാത്രം തെളിയിക്കുന്നു. സ്വകാര്യ ആപ്ലിക്കേഷൻ ട്രാഫിക് പ്രവർത്തിക്കുന്നുണ്ടോ എന്നതിനെക്കുറിച്ച് അത് ഒന്നും പറയുന്നില്ല, അതിനാൽ അത് വെവ്വേറെ പരിശോധിക്കുക. നാല് ഫലങ്ങളും അടുത്ത ഓപ്പറേറ്റർക്ക് കണ്ടെത്താനാകുന്നിടത്ത് എഴുതുക.

മാനേജ്മെന്റ് ഇന്റർഫേസ് ഡോക്യുമെന്റേഷൻ ഒറ്റ-ക്ലയന്റ് മാതൃകയും പ്രോട്ടോക്കോളിന്റെ പ്രത്യേകാവകാശ സ്വഭാവവും വിവരിക്കുന്നു, ഡാഷ്ബോർഡ് അതിലേക്ക് തിരിക്കുന്നതിന് മുമ്പ് വായിക്കാൻ യോഗ്യമായ ഭാഗം അതാണ്.