OpenVPN व्यवस्थापन सॉकेट: नियंत्रण चॅनेल, मेट्रिक्स नाही

व्यवस्थापन इंटरफेसला एकदा स्थिती विचारा आणि ते स्थिती पोर्टसारखे दिसू लागते. पण तसे नाही. क्लायंट स्वीकारला गेल्यावर तो प्रोटोकॉलचे नियंत्रण आदेश देऊ शकतो, आणि तो क्लायंट चालवणारे खाते या आदेशांना डेमनसोबत करता येणारे सर्व काही वारसाहक्काने घेते. त्याला केवळ-वाचन फीड म्हणून वागवणे हीच ती चूक जी मॉनिटरिंग इंटिग्रेशनला प्रमाणीकरणाशिवाय कन्सोल बनवते.

समज, आणि त्याची किंमत

व्यवस्थापन श्रोता मेट्रिक्स एंडपॉइंटशी समतुल्य आहे असा समज आहे: कलेक्टर जोडा, काउंटर वाचा, पुढे जा. प्रत्यक्षात कलेक्टर नियंत्रण क्षमता असलेले सत्र उघडतो, आणि तैनातीबद्दलची तुमची इतर प्रत्येक गृहीतक आता तो कलेक्टर चांगले वागण्यावर अवलंबून आहे.

इंटरफेसमध्ये काहीही केवळ-वाचन मोडची जाहिरात करत नाही. निवडण्यासाठी निरीक्षक भूमिका नाही, आणि कॉन्फिगरेशनमधील वापरकर्तानाव ती तयार करत नाही.

स्वीकारलेला क्लायंट प्रत्यक्षात काय ठेवतो

समुदाय डेमन एकावेळी फक्त एक सक्रिय व्यवस्थापन क्लायंट स्वीकारतो. त्या एकाच स्लॉटचा अर्थ असा की GUI, स्क्रिप्ट आणि मॉनिटरिंग एजंट सर्व जोडू शकत नाहीत; पहिले सत्र धरून ठेवते तेव्हा दुसरे वाटते किंवा अयशस्वी होते. तुमची रचना एकाच वेळी वाचणाऱ्यांची अपेक्षा करत असेल, तर ती आधीच चुकीची आहे.

जिथे नियतकालिक स्नॅपशॉट पुरतो, तिथे स्थिती-फाइलचे आउटपुट लाइव्ह सत्राशिवाय तीच संख्या देते. तो फाइल अंतराने लिहिणे आणि सामान्य फाइल परवानग्यांनी वाचणे कलेक्टरला नियंत्रण पातळीच्या पूर्णपणे बाहेर ठेवते, आणि बहुतेक मॉनिटरिंगला खरोखर हीच व्यवस्था हवी असते.

स्वतःचे सॉकेट, उघडे नाही

Unix-डोमेन सॉकेट नियंत्रण मार्गाला नेटवर्कच्या बाहेर ठेवते, ज्यामुळे बदलणारा टनेल पत्ता समस्येतून निघून जातो. ते परवानगीचा प्रश्न काढून टाकत नाही. मूळ निर्देशिका सेवा खात्यासाठी लिहिण्यायोग्य आणि नियंत्रकाच्या खात्यासाठी पोहोचण्यायोग्य असावी, आणि या दोन वेगळ्या परवानग्या आहेत:

management /run/openvpn/office-management.sock unix /etc/openvpn/management.password
management-client-user vpn-observer
management-client-group vpn-observer

पासवर्ड फाइल तिच्या पहिल्या ओळीत व्यवस्थापन रहस्य ठेवते. त्या फाइलचे संरक्षण इतर कोणत्याही क्रेडेन्शियलप्रमाणे करा, आणि तिची सामग्री लॉग आणि सहाय्य तिकिटांपासून दूर ठेवा. वापरकर्ता आणि गट निर्बंध Unix सॉकेटवरील समवयस्क तपासण्या आहेत, फाइलसिस्टम परवानग्या नाहीत, म्हणून इच्छित प्रक्रियेला फाइल प्रवेश आणि जुळणारी ओळख दोन्ही आवश्यक आहेत.

परवानगीची त्रुटी दूर करण्यासाठी सॉकेट सर्वांसाठी खुले करणे हाच एक उपाय टाळायचा आहे. ते स्थानिक नियंत्रण चॅनेलला होस्टवरील कोणतीही प्रक्रिया चालवू शकेल अशा गोष्टीत बदलते.

TCP वर ते प्रकाशित करणे ही तीच रचना नाही

श्रोत्याला TCP पोर्टवर नेल्याने तो अधिक सुरक्षित किंवा अधिक सोयीचा होत नाही. व्यवस्थापन पासवर्ड स्पष्ट मजकुरात पाठवला जातो, त्यामुळे TCP श्रोता क्रेडेन्शियल आणि सत्र दोन्ही मार्ग पाहू शकणाऱ्या कोणासाठीही उघड करतो. दुसऱ्या होस्टवरून त्याच्यापर्यंत पोहोचण्यासाठी अधिकृत प्रशासन चॅनेल, किंवा तुम्हाला आवश्यक ती निरीक्षणेच उघड करणारा छोटा स्थानिक एजंट आवश्यक आहे.

स्पष्ट मजकुराच्या वाहतुकीवरील पासवर्ड हे गोपनीयतेशिवाय प्रमाणीकरण आहे, आणि ते संयोजन दिसते त्यापेक्षा वाईट आहे कारण ते संरक्षित वाटते.

तुम्ही न मागितलेले सुरुवातीचे अवलंब

अनेक व्यवस्थापन पर्याय डेमनचे जीवनचक्र बदलतात. नियंत्रक जोडेपर्यंत सुरुवात थांबवणे, किंवा नियंत्रक गायब झाल्यावर थांबवणे, ऐच्छिक निरीक्षकाला कठोर अवलंब बनवते. मग कोसळणारा मॉनिटरिंग एजंट टनेलही आपल्यासोबत खाली आणेल.

सॉकेटशिवाय इतर काहीही सक्षम करण्यापूर्वी ते पर्याय तपासा. ऐच्छिक निरीक्षण ऐच्छिकच राहिले पाहिजे, आणि पुन्हा सुरू करण्याचे धोरण आलेखांसाठी जोडलेल्या कलेक्टरशी जोडले जाऊ नये.

अयशस्वी प्रक्रियेनंतर शिल्लक राहिलेली सॉकेट फाइल श्रोता अस्तित्वात असल्याचा पुरावा नाही. ती काढण्यापूर्वी कोणती उदाहरण मार्गाची मालक आहे ते ओळखा, आणि चालू डेमनखालील फाइल्स हटवण्याऐवजी सेवेचा स्वतःचा पुनर्प्राप्ती प्रवाह वापरा.

स्वीकार कसा दिसतो

चार तपासण्या रचनेला व्यापतात: इच्छित नियंत्रक ओळख जोडते, ती ओळख नसलेली प्रक्रिया नाकारली जाते, इशार्याशिवाय खंडित होणाऱ्या नियंत्रकातून डेमन टिकून राहतो, आणि नियंत्रित पुन्हा सुरुवातीतून टनेल अजूनही रहदारी वाहून नेते. यशस्वी व्यवस्थापन कनेक्शन केवळ नियंत्रण पातळीच सिद्ध करते. खाजगी अनुप्रयोगांची रहदारी चालते की नाही याबद्दल ते काहीही सांगत नाही, म्हणून ते वेगळे तपासा. चारही निकाल पुढील ऑपरेटरला सापडतील अशा ठिकाणी लिहा.

व्यवस्थापन इंटरफेसचे दस्तऐवज एकल-क्लायंट मॉडेल आणि प्रोटोकॉलचे विशेषाधिकार असलेले स्वरूप वर्णन करते, आणि डॅशबोर्ड त्याकडे वळवण्यापूर्वी वाचण्यासारखा भाग तोच आहे.