Hovudlaus OpenVPN: overvaka økt eller administrert teneste

Å køyre OpenVPN over SSH startar det på fjernmaskinen, i køyretidskonteksten til den maskinen. Det gjer det til ei endring av fjernnettet snarare enn eit fjernbetent knappetrykk. Dei to fornuftige modusane er ei overvaka forgrunnsøkt og ei eiga teneste, og dei har ulik førebuing, ulik legitimasjon og ulik feilåtferd.

To modusar, éin profil

Begge modusane brukar same profil, og begge endrar rutinga på verten. Det som er ulikt, er kven som er til stades når det startar, og kva som skjer etter at økta er over.

Forgrunnsmodusen er for ei overvaka tilknyting der nokon er til stades. Tenestemodusen er for ei tilknyting som skal kome opp utan at nokon er innlogga. Å blande dei, ved å la ein forgrunnsprosess køyre samstundes som du aktiverer ei teneste på same profil, er den vanlegaste sjølvpåførte skaden her.

Kva forgrunnsøkta eigentleg er

Ein OpenVPN-forgrunnsprosess skal halde fram med å køyre medan tunnelen er oppe. Initialization Sequence Completed tyder at initialiseringa er ferdig, ikkje at du skal vente på at ei ledetekst kjem tilbake. Eit skrivebords-GUI gøymer det langvarige arbeidet bak eit vindauge, og det er nettopp difor folk ventar at SSH-kommandoen skal oppføre seg på same måte. Det gjer han ikkje.

Kontroller tilgangen til applikasjonen separat. Ein oppteken terminal og éi logglinje provar korkje suksess eller fiasko.

Kva ei ubemanna teneste treng

Ei teneste startar med sin eigen konto, sin eigen arbeidskatalog og sine eigne filsystemavgrensingar, og alle desse er ulike frå skalet ditt. Bruk eksplisitte stiar og rett eigarskap i staden for å stole på kvar du tilfeldigvis stod. Gi eininga ein omstartspolicy du faktisk ønskjer, fordi ei tilknytingsløkke utan backoff fyller ein logg og irriterer motparten. Stadfest deretter at ho kjem opp etter ein omstart og ikkje etter den neste innlogginga di.

Interaktiv MFA bryt det ubemanna tilfellet ved design. Viss profilen krev ein kode skriven av ein person, er det ikkje ei ubemanna teneste, og ein lagra eingongskode er ikkje ein legitimasjonsdesign. Bestem det med vilje i staden for å oppdage det ved oppstart.

Legitimasjon er fire ulike inndata

OpenVPN har ein manual som skil konsollinndata, legitimasjonsfiler, passfrasar for private nøklar og administrasjonsstyrt interaksjon. Eit brukarnamn og passord er éin ting, og passfrasen til ein kryptert nøkkel er ein annan. Eit administrasjonsgrensesnitt som leverer legitimasjon på førespurnad, er ein tredje. Vel mekanismen som passar til autentiseringsdesignet ditt i staden for å køyre alt saman i éi fil fordi det tilfeldigvis fungerte éin gong.

Vern profila og loggane som ber identitet eller privat materiale. Tenestekontoen les dei, og det gjer òg kven som helst med rett gruppemedlemskap.

Éin eigar, og ein veg tilbake

Ta vare på SSH-administrasjonsvegen din før du aktiverer ei brei tunnelrute. Ein fulltunnelkonfigurasjon med eit endepunkt som døyr, kan la maskinen liggje utilgjengeleg, og reparasjonen krev då ein konsoll du ikkje har ordna. Ein godkjend out-of-band-konsoll eller ein medviten policy for administrasjonsretur er forsikringa.

Vel éin konfigurasjonseigar for den daglege drifta. Ei automatisk teneste og ein forgrunnsprosess som konkurrerer om dei same grensesnitta, rutene og resolver-tilstanden, gir feil som ser ut som eit leverandørproblem. Stopp ein overvaka køyring med si normale avbryting, og ein administrert via manageren sin i staden for å drepe kvar prosess som heiter openvpn.

Skilnaden som er verdt å skrive ned, er enkel: ei overvaka køyring kan henge saman med økta di, og ei ubemanna teneste kan ikkje.