Hook tal-klijent jew hook tas-server? Fejn jitmexxa skript tal-OpenVPN

Il-kompitu ċar: meta laptop jgħaqqad, xi ħaġa fuq il-laptop għandha tinbidel. Il-konfigurazzjoni li qed tiġi editjata tappartjeni lis-server, u huwa hemmhekk li l-assunzjoni tinqasam. Mogħdija f’fajl tas-server issemmi fajl fuq dak is-server, u l-ebda ammont ta’ push ma jbiddel ta’ min hu l-proċess li jwettqha. L-għażla bejn iż-żewġ hooks hija l-aktar deċiżjoni dwar liema magna tippossjedi x-xogħol u aċċettazzjoni tal-limiti li jsegwu.

Żewġ magni, żewġ mistoqsijiet li jridu jiġu mwieġba l-ewwel

Staqsi fejn trid isseħħ il-bidla fl-istat, imbagħad staqsi liema avveniment jikkorrispondi magħha. Jekk il-bidla hija awtorizzazzjoni għal kull utent jew deċiżjoni ta’ konfigurazzjoni għal kull klijent, tappartjeni fejn id-direttorju tal-utenti huwa magħruf: is-server. Jekk il-bidla hija rotta, settjar tar-resolver jew assistent lokali fuq punt finali, tappartjeni lill-punt finali, u l-punt finali biss jista’ jagħmilha.

Li twieġeb dawk iż-żewġ mistoqsijiet bl-ordni maqluba huwa kif in-nies jispiċċaw jippruvaw imexxu fajl batch lejn laptop tal-Windows. Is-server jaf min qagħad; il-laptop jaf kif jidher l-istakk tan-netwerk tiegħu stess. Ħadd minnhom m’għandu l-informazzjoni tal-ieħor, u l-attentat normalment ifalli bil-kwiet minflok b’żball ċar.

Qabel it-tnejn jiswa li tistaqsi t-tielet mistoqsija: il-pjattaforma għall-inqas toffri l-hook li trid? Apparat li jiġġenera l-konfigurazzjoni tiegħu stess jista’ ma joffrix l-istess ismijiet tal-avvenimenti, u klijent tad-desktop li jimporta fajl .ovpn mhux bilfors hu l-klijent li għalih inkiteb il-fajl. Li tikkonferma l-pjattaforma l-ewwel jevita li tiddisinja madwar hook li ma jeżistix hemmhekk. Tgħidlek ukoll liema dokumentazzjoni tapplika tassew għall-magna quddiemek.

L-għażla tan-naħa tas-server: avveniment għal kull konnessjoni

Skript client-connect jitmexxi fil-kuntest tal-proċess tas-server meta klijent awtentikat jgħaqqad, u jirċievi dettalji tal-konnessjoni dokumentati bħall-common name u l-indirizz assenjat. Huwa l-post it-tajjeb biex tikteb framment ta’ konfigurazzjoni għal kull klijent, tinforza deċiżjoni ta’ politika jew tirrekordja stat li jippossjedi s-server.

Id-distinzjoni li n-nies jitilfu hija d-differenza bejn dak il-hook u hook up tas-server. Il-hook up jinxtegħel meta s-server jiftaħ il-mezz tunnel tiegħu, li fuq server b’ħafna klijenti jiġri darba waħda fil-bidu tad-daemon. Mhuwiex avveniment għal kull dħul, u l-kodi li jitqiegħed hemm jitmexxi meta jibda s-servizz u mhux meta jgħaqdu l-utenti.

Fuq apparat b’interface web, uża l-mekkaniżmu tal-estensjoni appoġġat minflok ma teditja fajls tad-daemon iġġenerati. Il-fajls iġġenerati jerġgħu jinkitbu fil-ħażna li jmiss, u l-kitba mill-ġdid tneħħi l-bidla tiegħek bil-kwiet fl-agħar mument possibbli. Żomm kopja tat-test tal-estensjoni barra mill-apparat sabiex aġġornament tal-firmware ma jitlifx ukoll l-intenzjoni.

L-għażla tan-naħa tal-klijent: xogħol li jrid jitmexxi lokalment

Klijent tal-komunità jista’ jmexxi skript lokali meta l-mezz tunnel jinxtegħel u għal darb’oħra meta jiġu installati r-rotot. Dawk huma żewġ mumenti differenti, u l-għażla żbaljata tipproduċi t-tellieqa klassika fejn assistent jibda qabel ma teżisti r-rotta li jiddependi fuqha.

L-assistent irid jeżisti fuq dak il-klijent, ikun jista’ jinqara u jiġi eżegwit mill-kont li jmexxi l-klijent, u jkun permess minn settjar script-security espliċitu. Skript li jaħdem meta tniedi l-klijent bħala amministratur ma jgħidlek xejn dwar servizz qabel id-dħul jew dwar sessjoni ta’ utent ieħor.

L-ismijiet ukoll jgħoddu. Il-hook up jikkorrispondi għall-ħolqien tal-mezz u route-up għall-installazzjoni tar-rotot, iżda kompitu li jeħtieġ network privat li jintlaħaq għandu jivverifika l-aċċessibbiltà minflok ma jassumi li l-ħolqien tal-mezz ifisser li kull rotta, entrata tar-resolver u applikazzjoni huma lesti.

Għaliex imexxi kodi eżegwibbli mhuwiex fost l-għażliet

L-għażliet mibgħuta b’push huma ristretti apposta, u l-għażliet li jeżegwixxu skripts huma fost il-kategoriji li s-server mhuwiex permess igħaddi. Dak ir-restrizzjoni teżisti għax l-alternattiva tħalli server kompromess jew ikkonfigurat ħażin imexxi kmandi arbitrarji fuq kull klijent li qatt jgħaqqad.

Li tippermetti l-eżekuzzjoni tal-iskripts lokalment ma jbiddelx dan. Is-settjar script-security tiegħek jippermetti skripts lokali li għażilt int; ma jagħtix is-server l-awtorità li jipprovdi oħrajn ġodda.

Jekk l-għan huwa biss li tinstalla rotot VPN, uża l-konfigurazzjoni tar-rotot appoġġata minflok ma tinventa skema ta’ eżekuzzjoni mill-bogħod. Jekk l-għan tassew jeħtieġ kodi lokali, qassmu permezz tal-għodod tal-ġestjoni tal-punti finali tal-organizzazzjoni u rrevedih bħal kull software ieħor li jitmexxi bil-privileġġi tal-utent.

X’tivverifika qabel ma tafda fi kwalunkwe mill-hooks

Ikteb erba’ affarijiet għal kull hook: il-magna, l-isem tal-avveniment, il-kont li bih jitmexxi, u l-bidla fl-istat li suppost tipproduċi. Imbagħad ipprova l-konnessjoni, konnessjoni mill-ġdid u l-mogħdija tat-tindif, għax hook li jnixxi l-istat fil-konnessjoni mill-ġdid huwa agħar minn wieħed li qatt ma mexa.

Ipprova taħt il-kont li tassew se jeżegwih, fil-mument li tassew se jiġi eżegwit. Il-manwal openvpn(8) jiddokumenta ż-żewġ familji ta’ hooks u r-restrizzjonijiet tal-push; il-pjattaforma li fuqha tiskjera tiddokumenta jekk toffrihomx xejn. Skript li jirnexxi f’terminal tal-amministratur interattiv hija ipoteżi, mhux verifika.