Soket pengurusan OpenVPN: saluran kawalan, bukan metrik

Minta status daripada antara muka pengurusan sekali dan ia mula kelihatan seperti port status. Tetapi ia bukan. Sebaik sahaja klien diterima, ia boleh mengeluarkan arahan kawalan protokol, dan akaun yang menjalankan klien itu mewarisi apa sahaja yang boleh dilakukan oleh arahan tersebut terhadap daemon. Memperlakukannya sebagai suapan baca sahaja ialah kesilapan yang menukar integrasi pemantauan menjadi konsol tanpa pengesahan.

Kepercayaan itu, dan kosnya

Kepercayaan ialah pendengar pengurusan bersamaan dengan titik akhir metrik: sambungkan pengumpul, baca pembilang, teruskan. Apa yang sebenarnya berlaku ialah pengumpul membuka sesi dengan keupayaan kawalan, dan setiap andaian lain yang anda buat tentang penggunaan kini bergantung pada pengumpul itu berkelakuan baik.

Tiada apa-apa dalam antara muka mengiklankan mod baca sahaja. Tiada peranan pemerhati untuk dipilih, dan nama pengguna dalam konfigurasi tidak menciptanya.

Apa yang sebenarnya dipegang klien yang diterima

Daemon komuniti menerima hanya satu klien pengurusan aktif pada satu masa. Satu slot itu bermakna GUI, skrip dan ejen pemantauan tidak boleh semuanya menyambung; yang kedua menunggu atau gagal semasa yang pertama memegang sesi. Jika reka bentuk anda menganggap pembaca serentak, ia sudah salah.

Di mana syot kilat berkala memadai, output fail status memberikan nombor yang sama tanpa sesi langsung. Menulis fail itu secara berkala dan membacanya dengan kebenaran fail biasa menjauhkan pengumpul sepenuhnya daripada satah kawalan, dan itulah susunan yang benar-benar diperlukan oleh kebanyakan pemantauan.

Soket milik sendiri, bukan yang terbuka

Soket domain Unix menjauhkan laluan kawalan daripada rangkaian, yang menghapuskan alamat terowong yang berubah daripada masalah. Ia tidak menghapuskan persoalan kebenaran. Direktori induk mesti boleh ditulis oleh akaun perkhidmatan dan boleh dicapai oleh akaun pengawal, dan itu dua kebenaran berasingan:

management /run/openvpn/office-management.sock unix /etc/openvpn/management.password
management-client-user vpn-observer
management-client-group vpn-observer

Fail kata laluan membawa rahsia pengurusan pada baris pertamanya. Lindungi fail itu seperti mana-mana kelayakan lain, dan jauhkan kandungannya daripada log dan tiket sokongan. Sekatan pengguna dan kumpulan ialah pemeriksaan rakan pada soket Unix, bukan kebenaran sistem fail, jadi proses yang dimaksudkan memerlukan akses fail dan identiti yang sepadan.

Menjadikan soket boleh diakses oleh seluruh dunia untuk menghapuskan ralat kebenaran ialah satu-satunya pembetulan yang harus dielakkan. Ia menukar saluran kawalan tempatan menjadi sesuatu yang boleh dikendalikan oleh mana-mana proses pada hos.

Menerbitkannya melalui TCP bukan reka bentuk yang sama

Memindahkan pendengar ke port TCP tidak menjadikannya lebih selamat atau lebih mudah. Kata laluan pengurusan dihantar dalam teks biasa, jadi pendengar TCP mendedahkan kelayakan dan sesi kepada sesiapa yang boleh memerhati laluan itu. Mencapainya dari hos lain memerlukan saluran pentadbiran yang dibenarkan, atau ejen tempatan kecil yang hanya mendedahkan pemerhatian yang anda perlukan.

Kata laluan pada pengangkutan teks biasa ialah pengesahan tanpa kerahsiaan, dan gabungan itu lebih buruk daripada kelihatan kerana ia terasa dilindungi.

Kebergantungan permulaan yang anda tidak minta

Beberapa pilihan pengurusan mengubah kitaran hayat daemon. Menahan permulaan sehingga pengawal bersambung, atau menamatkan apabila pengawal hilang, menjadikan pemerhati pilihan sebagai kebergantungan keras. Ejen pemantauan yang ranap kemudian akan menjatuhkan terowong bersamanya.

Semak pilihan itu sebelum mengaktifkan apa-apa selain soket itu sendiri. Pemerhatian pilihan harus kekal pilihan, dan dasar permulaan semula tidak sepatutnya digandingkan dengan pengumpul yang ditambah untuk graf.

Fail soket yang tertinggal selepas proses gagal bukan bukti bahawa pendengar wujud. Kenal pasti contoh mana yang memiliki laluan itu sebelum mengeluarkannya, dan gunakan aliran pemulihan perkhidmatan itu sendiri daripada memadam fail di bawah daemon yang berjalan.

Rupa penerimaan

Empat pemeriksaan meliputi reka bentuk: identiti pengawal yang dimaksudkan bersambung, proses tanpa identiti itu ditolak, daemon bertahan terhadap pengawal yang terputus tanpa amaran, dan terowong masih membawa trafik melalui permulaan semula terkawal. Sambungan pengurusan yang berjaya hanya membuktikan satah kawalan. Ia tidak menyatakan apa-apa tentang sama ada trafik aplikasi peribadi berfungsi, jadi uji secara berasingan. Tuliskan empat keputusan itu di tempat pengendali seterusnya boleh menemuinya.

Dokumentasi antara muka pengurusan menerangkan model satu klien dan sifat istimewa protokol, dan itulah bahagian yang wajar dibaca sebelum anda menghalakan papan pemuka kepadanya.