Hodeløs OpenVPN: overvåket økt eller administrert tjeneste

Å kjøre OpenVPN over SSH starter det på fjernmaskinen, i den maskinens kjøretidskontekst. Det gjør det til en endring av fjernnettet snarere enn et fjernbetjent knappetrykk. De to fornuftige modusene er en overvåket forgrunnsøkt og en eid tjeneste, og de har ulik forberedelse, ulike legitimasjoner og ulik feilatferd.

To moduser, én profil

Begge modusene bruker samme profil, og begge endrer rutingen på verten. Det som er forskjellig, er hvem som er til stede når det starter, og hva som skjer etter at økten er over.

Forgrunnsmodusen er for en overvåket tilkobling der noen er til stede. Tjenestemodusen er for en tilkobling som skal komme opp uten at noen er logget inn. Å blande dem, ved å la en forgrunnsprosess kjøre samtidig som du aktiverer en tjeneste på samme profil, er den vanligste selvpåførte skaden her.

Hva forgrunnsøkten egentlig er

En OpenVPN-forgrunnsprosess skal fortsette å kjøre mens tunnelen er oppe. Initialization Sequence Completed betyr at initialiseringen er ferdig, ikke at du skal vente på at en ledetekst kommer tilbake. Et skrivebords-GUI skjuler det langvarige arbeidet bak et vindu, og det er nettopp derfor folk forventer at SSH-kommandoen skal oppføre seg på samme måte. Det gjør den ikke.

Kontroller applikasjonens tilgang separat. En opptatt terminal og én logglinje beviser verken suksess eller fiasko.

Hva en ubemannet tjeneste trenger

En tjeneste starter med sin egen konto, sin egen arbeidskatalog og sine egne filsystembegrensninger, og alle disse er forskjellige fra skallet ditt. Bruk eksplisitte stier og riktig eierskap i stedet for å stole på hvor du tilfeldigvis sto. Gi enheten en omstartspolicy du faktisk ønsker, fordi en tilkoblingsløkke uten backoff fyller en logg og irriterer motparten. Bekreft deretter at den kommer opp etter en omstart og ikke etter din neste innlogging.

Interaktiv MFA bryter det ubemannede tilfellet ved design. Hvis profilen krever en kode skrevet av en person, er det ikke en ubemannet tjeneste, og en lagret engangskode er ikke en legitimasjonsdesign. Bestem det bevisst i stedet for å oppdage det ved oppstart.

Legitimasjon er fire forskjellige inndata

OpenVPN har en manual som skiller konsollinndata, legitimasjonsfiler, passfraser for private nøkler og administrasjonsstyrt interaksjon. Et brukernavn og passord er én ting, og en kryptert nøkkels passfrase er en annen. Et administrasjonsgrensesnitt som leverer legitimasjon på forespørsel, er en tredje. Velg mekanismen som passer til autentiseringsdesignet ditt i stedet for å kjede alt sammen i én fil fordi det tilfeldigvis fungerte én gang.

Beskytt profilene og loggene som bærer identitet eller privat materiale. Tjenestekontoen leser dem, og det gjør også enhver med riktig gruppemedlemskap.

Én eier, og en vei tilbake

Bevar SSH-administrasjonsveien din før du aktiverer en bred tunnelrute. En fulltunnelkonfigurasjon med et endepunkt som dør, kan etterlate maskinen utilgjengelig, og reparasjonen krever da en konsoll du ikke har ordnet. En godkjent out-of-band-konsoll eller en bevisst policy for administrasjonsretur er forsikringen.

Velg én konfigurasjonseier for den daglige driften. En automatisk tjeneste og en forgrunnsprosess som konkurrerer om de samme grensesnittene, rutene og resolver-tilstanden, gir feil som ser ut som et leverandørproblem. Stopp en overvåket kjøring med sin normale avbrytelse, og en administrert via dens manager i stedet for å drepe hver prosess som heter openvpn.

Forskjellen som er verdt å skrive ned, er enkel: en overvåket kjøring kan avhenge av økten din, og en ubemannet tjeneste kan ikke.