Welke softwarerollen een schermloze OpenVPN-gateway nodig heeft

Een machine die aan een OpenVPN-gateway is gewijd, heeft een ondersteunde serverinstallatie nodig en de software voor de taken die hij werkelijk uitvoert. Een installatiemenu dat SSH, webhosting en andere serverrollen aanbiedt, is geen lijst met vereisten voor OpenVPN. Een uitrol zonder scherm is volkomen redelijk. Het gaat erom drie taken te scheiden: de tunnel dragen, de host beheren en referenties uitgeven.

Dit is de inventarisvolgorde die ik gebruik, met de controle die elke stap afsluit.

1. Geef de tunneldienst een eigen pakket en profiel

Ubuntu’s OpenVPN-serverhandleiding gebruikt het openvpn-pakket van de distributie met een commandoregel en een serviceconfiguratie. Hetzelfde pakket dient als Linux-client, en de configuratie kiest de rol.

Dat betekent dat het installeren van een client-GUI niet is wat de host tot server maakt, en het verwijderen ervan niet wat hem schermloos maakt. Noteer welk profiel de draaiende instantie leest, want een tweede configuratiebestand in dezelfde map kan ongemerkt worden geladen, en de daemon meldt in beide gevallen succes. Als er twee profielen bestaan, beslist de servicemanager welke wint, en die beslissing hoort in je notities en niet in een gok.

2. Bepaal het beheerpad vóór de tunnel

OpenSSH komt uit een apart openssh-server-pakket en draait als een eigen dienst. Het is nuttig wanneer een beheerder de machine via SSH moet bereiken, maar OpenVPN heeft geen SSH-server nodig om VPN-pakketten uit te wisselen. Een lokale console of een goedgekeurd platformbeheerkanaal is een ander geldig pad. Bepaal op welke je vertrouwt voordat je routering of filtering wijzigt, want een nieuwe tunnel mag nooit de enige ongeteste manier zijn om zichzelf te repareren.

3. Geef referenties uit bij de goedgekeurde eigenaar

Het Ubuntu-voorbeeld installeert easy-rsa naast OpenVPN om een kleine PKI te bouwen, wat een rol voor het uitgeven van referenties is en geen draaiende tunneldienst. Als de organisatie al een goedgekeurd uitgifteproces heeft, gebruik dat dan in plaats van een ongerelateerde CA te maken omdat een handleiding er een bevat. Houd de eigen privésleutel en het certificaat van de gateway gescheiden van de CA-ondertekeningssleutel, en kies de ondertekenings- en back-uplocatie bewust. Elk PKI-bestand naar elke host kopiëren is geen softwarevereiste.

4. Laat desktopplug-ins aan desktops over

Een NetworkManager-editor of importplug-in heeft een doel op een machine die die werkstroom gebruikt. Het is geen extra serverfunctie die nodig is omdat de gateway OpenVPN spreekt.

Kies één eigenaar voor de verbinding, en start geen tweede, vanaf de desktop beheerde kopie van hetzelfde profiel.

5. Accepteer de gateway met een echte client

Minder pakketten is geen voltooide gateway. De server heeft nog steeds een goedgekeurde listener, identiteiten, routes, doorsturen waar nodig, een smal firewallbeleid en het bedoelde retourpad nodig. Schrijf op waar de logboeken verschijnen en hoe updates worden toegepast, want die twee antwoorden bepalen hoe een storing later wordt gediagnosticeerd.

Een ontwerp met internetuitgang en een ontwerp met toegang tot een particulier netwerk hebben verschillende doorstuureisen, dus bepaal welk je bouwt voordat je iets opent. Start één goedgekeurde client en controleer de bedoelde bron in plaats van de tunnelindicator. Herstart daarna de dienst op een gecontroleerde manier en bevestig het opstartpad zonder toezicht, want een gateway die alleen omhoog komt terwijl iemand meekijkt is nog niet uitgerold.