OpenVPN व्यवस्थापन सकेट: नियन्त्रण च्यानल, मेट्रिक्स होइन

व्यवस्थापन इन्टरफेसलाई एकचोटि स्थिति सोध्नुहोस् र यो स्थिति पोर्टजस्तो देखिन थाल्छ. तर यो त्यस्तो होइन। क्लाइन्ट स्वीकार भएपछि यसले प्रोटोकलका नियन्त्रण आदेश जारी गर्न सक्छ, र त्यो क्लाइन्ट चलाउने खाताले ती आदेशले डेमनसँग गर्न सक्ने सबै कुरा उत्तराधिकारमा पाउँछ। यसलाई पढ्न मात्र मिल्ने फिडका रूपमा व्यवहार गर्नु त्यही गल्ती हो जसले मोनिटरिङ एकीकरणलाई प्रमाणीकरणविहीन कन्सोलमा बदल्छ।

विश्वास, र यसको मूल्य

व्यवस्थापन श्रोता मेट्रिक्स इन्डपोइन्टसँग बराबर छ भन्ने विश्वास छ: कलेक्टर जोड्नुहोस्, काउन्टर पढ्नुहोस्, अगाडि बढ्नुहोस्. वास्तवमा कलेक्टरले नियन्त्रण क्षमतासहितको सत्र खोल्छ, र परिनियोजनबारे तपाईंको हरेक अन्य अनुमान अब त्यो कलेक्टर राम्रोसँग व्यवहार गर्नमा निर्भर छ।

इन्टरफेसमा कुनै कुराले पढ्न मात्र मिल्ने मोडको विज्ञापन गर्दैन। छान्नका लागि पर्यवेक्षक भूमिका छैन, र कन्फिगरेसनमा उपयोगकर्ता नामले त्यस्तो बनाउँदैन।

स्वीकार गरिएको क्लाइन्टले वास्तवमा के राख्छ

समुदाय डेमनले एक पटकमा एउटा मात्र सक्रिय व्यवस्थापन क्लाइन्ट स्वीकार गर्छ. त्यो एउटा स्लटको अर्थ GUI, स्क्रिप्ट र मोनिटरिङ एजेन्ट सबै जोडिन सक्दैनन्; पहिलोले सत्र राखिरहँदा दोस्रो कुर्छ वा असफल हुन्छ। यदि तपाईंको डिजाइनले एकैसाथ धेरै पाठक मान्छ भने, यो पहिले नै गलत छ।

जहाँ आवधिक स्न्यापसट पर्याप्त छ, त्यहाँ स्थिति-फाइलको आउटपुटले लाइभ सत्रबिना नै त्यही संख्याहरू दिन्छ. त्यो फाइल अन्तरालमा लेख्ने र सामान्य फाइल अनुमतिहरूले पढ्ने कामले कलेक्टरलाई नियन्त्रण तहबाट पूर्ण रूपमा बाहिर राख्छ, र अधिकांश मोनिटरिङलाई वास्तवमा यही व्यवस्था चाहिन्छ।

आफ्नै सकेट, खुला होइन

Unix डोमेन सकेटले नियन्त्रण मार्गलाई सञ्जालबाट बाहिर राख्छ, जसले समस्याबाट बदलिने टनेल ठेगाना हटाउँछ. यसले अनुमतिको प्रश्न हटाउँदैन. मूल निर्देशिका सेवा खाताका लागि लेख्न योग्य र नियन्त्रकको खाताका लागि पुग्न योग्य हुनुपर्छ, र यी दुई अलग अनुमति हुन्:

management /run/openvpn/office-management.sock unix /etc/openvpn/management.password
management-client-user vpn-observer
management-client-group vpn-observer

पासवर्ड फाइलले आफ्नो पहिलो लाइनमा व्यवस्थापन रहस्य राख्छ. त्यो फाइललाई अन्य कुनै पनि प्रमाणपत्रजस्तै सुरक्षित राख्नुहोस्, र यसको सामग्री लग र सहायता टिकटबाट टाढा राख्नुहोस्. प्रयोगकर्ता र समूह प्रतिबन्धहरू Unix सकेटमा सहकर्मी जाँच हुन्, फाइलसिस्टम अनुमति होइनन्, त्यसैले अभीष्ट प्रक्रियालाई फाइल पहुँच र मिल्ने पहिचान दुवै चाहिन्छ।

अनुमति त्रुटि हटाउन सकेटलाई सबैका लागि खोल्नु त्यही एउटा सुधार हो जसबाट बच्नुपर्छ. यसले स्थानीय नियन्त्रण च्यानललाई होस्टको कुनै पनि प्रक्रियाले चलाउन सक्ने कुरामा बदल्छ।

TCP मा प्रकाशित गर्नु त्यही डिजाइन होइन

श्रोतालाई TCP पोर्टमा सार्नुले यसलाई बढी सुरक्षित वा बढी सुविधाजनक बनाउँदैन. व्यवस्थापन पासवर्ड स्पष्ट पाठमा पठाइन्छ, त्यसैले TCP श्रोताले प्रमाणपत्र र सत्र दुवैलाई मार्ग हेर्न सक्ने जोकोहीसामु खोल्छ. अर्को होस्टबाट यसम्म पुग्न अधिकृत प्रशासन च्यानल, वा तपाईंलाई आवश्यक अवलोकन मात्र देखाउने सानो स्थानीय एजेन्ट चाहिन्छ।

स्पष्ट पाठ यातायातमा पासवर्ड भनेको गोपनीयताविहीन प्रमाणीकरण हो, र त्यो संयोजन देखिनेभन्दा नराम्रो छ किनकि यो सुरक्षित महसुस हुन्छ।

तपाईंले नमागेका सुरुवाती निर्भरता

धेरै व्यवस्थापन विकल्पहरूले डेमनको जीवनचक्र बदल्छन्. नियन्त्रक जोडिएसम्म सुरुवात रोकिराख्नु, वा नियन्त्रक हराएपछि अन्त्य गर्नु, ऐच्छिक पर्यवेक्षकलाई कठोर निर्भरता बनाउँछ. त्यसपछि क्र्यास हुने मोनिटरिङ एजेन्टले टनेल पनि आफैसँग तल ल्याउनेछ।

सकेटबाहेक अरू केही सक्षम गर्नुअघि ती विकल्पहरू समीक्षा गर्नुहोस्. ऐच्छिक अवलोकन ऐच्छिक नै रहनुपर्छ, र पुनः सुरु नीतिलाई ग्राफका लागि थपिएको कलेक्टरसँग जोड्नु हुँदैन।

असफल प्रक्रियापछि बाँकी रहेको सकेट फाइल श्रोता अवस्थित छ भन्ने प्रमाण होइन. हटाउनुअघि कुन इन्स्टेन्सले मार्गको स्वामित्व राख्छ पहिचान गर्नुहोस्, र चलिरहेको डेमनमुनि फाइल मेटाउनुको सट्टा सेवाकै पुनःप्राप्ति प्रवाह प्रयोग गर्नुहोस्।

स्वीकृति कस्तो देखिन्छ

चार जाँचले डिजाइन ढाक्छन्: अभीष्ट नियन्त्रक पहिचान जोडिन्छ, त्यो पहिचान नभएको प्रक्रिया अस्वीकृत हुन्छ, चेतावनीबिना विच्छेद हुने नियन्त्रकबाट डेमन जोगिन्छ, र नियन्त्रित पुनः सुरु भएर पनि टनेलले ट्राफिक बोक्छ. सफल व्यवस्थापन जडानले नियन्त्रण तह मात्र प्रमाणित गर्छ. निजी अनुप्रयोगको ट्राफिक चल्छ कि चल्दैन भन्नेबारे यसले केही भन्दैन, त्यसैले त्यो अलग जाँच्नुहोस्. चारै नतिजा अर्को अपरेटरले भेट्न सक्ने ठाउँमा लेख्नुहोस्।

व्यवस्थापन इन्टरफेसको कागजात ले एकल-क्लाइन्ट मोडेल र प्रोटोकलको विशेषाधिकार प्राप्त प्रकृति वर्णन गर्छ, र ड्यासबोर्ड त्यतातिर फर्काउनुअघि पढ्न लायक भाग त्यही हो।