Headless OpenVPN: begeleide sessie of beheerde dienst

OpenVPN via SSH starten start het op de externe machine, in de uitvoeringscontext van die machine. Dat maakt het een wijziging van het externe netwerk in plaats van een externe knopdruk. De twee verstandige modi zijn een begeleide voorgrondsessie en een eigen dienst, en ze hebben verschillende voorbereiding, verschillende inloggegevens en verschillend faalgedrag.

Twee modi, één profiel

Beide modi gebruiken hetzelfde profiel en beide wijzigen de routering op de host. Wat verschilt, is wie aanwezig is bij de start, en wat er gebeurt nadat de sessie eindigt.

De voorgrondmodus is voor een begeleide verbinding waarbij iemand aanwezig is. De dienstmodus is voor een verbinding die omhoog moet komen zonder dat iemand is ingelogd. Ze mengen, door een voorgrondproces te laten draaien en tegelijk een dienst op hetzelfde profiel in te schakelen, is hier de meest voorkomende zelf veroorzaakte breuk.

Wat de voorgrondsessie werkelijk is

Een OpenVPN-voorgrondproces hoort te blijven draaien zolang de tunnel actief is. Initialization Sequence Completed betekent dat de initialisatie klaar is, niet dat u moet wachten tot een prompt terugkeert. Een desktop-GUI verbergt dat langdurige werk achter een venster, en juist daarom verwachten mensen dat het SSH-commando zich hetzelfde gedraagt. Dat doet het niet.

Controleer de toegang van de toepassing apart. Een bezette terminal en één logregel bewijzen noch succes noch mislukking.

Wat een onbeheerde dienst nodig heeft

Een dienst start met zijn eigen account, werkmap en bestandssysteembeperkingen, en die verschillen allemaal van uw shell. Gebruik expliciete paden en passend eigenaarschap in plaats van te vertrouwen op waar u toevallig stond. Geef de unit een herstartbeleid dat u echt wilt, want een verbindingslus zonder terugval vult een log en irriteert de tegenpartij. Controleer daarna dat hij na een herstart omhoog komt en niet na uw volgende aanmelding.

Interactieve MFA breekt het onbeheerde geval naar zijn aard. Als het profiel een door een mens getypte code vereist, is het geen onbeheerde dienst, en een opgeslagen eenmalige code is geen ontwerp voor inloggegevens. Beslis dat bewust in plaats van het bij de boot te ontdekken.

Inloggegevens zijn vier verschillende invoer

De handleiding van OpenVPN scheidt console-invoer, inloggegevensbestanden, wachtzinnen voor privésleutels en door beheer gestuurde interactie. Een combinatie van gebruikersnaam en wachtwoord is één ding, en de wachtzin van een versleutelde sleutel is een ander. Een beheerinterface die op verzoek inloggegevens levert, is een derde. Kies het mechanisme dat bij uw authenticatieontwerp past in plaats van alles in één bestand te koppelen omdat dat toevallig één keer werkte.

Bescherm de profielen en logs die identiteit of privémateriaal bevatten. Het dienstaccount leest ze, en iedereen met het juiste groepslidmaatschap ook.

Eén eigenaar, en een weg terug

Behoud uw SSH-beheerroute voordat u een brede tunnelroute inschakelt. Een fulltunnelconfiguratie met een eindpunt dat sterft kan de machine onbereikbaar achterlaten, en de reparatie vereist dan een console die u niet had geregeld. Een goedgekeurde out-of-band-console of een bewust terugkeerbeleid voor beheer is de verzekering.

Kies één configuratie-eigenaar voor de dagelijkse bedrijfsvoering. Een automatische dienst en een voorgrondproces die om dezelfde interfaces, routes en resolverstatus concurreren, veroorzaken storingen die op een providerprobleem lijken. Stop een begeleide run met zijn normale onderbreking, en een beheerde via zijn manager in plaats van elk proces met de naam openvpn te doden.

Het verschil om op te schrijven is eenvoudig: een begeleide run mag van uw sessie afhangen, en een onbeheerde dienst niet.