Kva programvareroller ein skjermlaus OpenVPN-gateway treng

Ei maskin som er vigd til ein OpenVPN-gateway, treng ein støtta serverinstallasjon og programvara for oppgåvene ho faktisk utfører. Ein installasjonsmeny som tilbyr SSH, webhotell og andre serverroller er ikkje ei liste over føresetnader for OpenVPN. Ei utrulling utan skjerm er heilt rimeleg. Det viktige er å skilje tre oppgåver: å bera tunnelen, å administrere verten og å gje ut legitimasjon.

Her er inventarrekkjefølgja eg brukar, med kontrollen som lukkar kvart steg.

1. Gje tunneltenesta si eiga pakke og profil

Ubuntu si OpenVPN-serverrettleiing brukar openvpn-pakka frå distribusjonen med ei kommandolinje og ein tenestekonfigurasjon. Den same pakka tener som Linux-klient, og konfigurasjonen vel rolla.

Det tyder at installasjon av ein klient-GUI ikkje er det som gjer verten til ein server, og fjerning av han er ikkje det som gjer han skjermlaus. Noter kva profil den køyrande instansen les, fordi ei ekstra konfigurasjonsfil i same katalog kan lastast utan at nokon merkar det, og daemonen rapporterer suksess i begge tilfelle. Når det finst to profilar, avgjer tenestestyringa kven som vinn, og den avgjerda høyrer heime i notata dine og ikkje i ei gissing.

2. Avgjer administrasjonsvegen før tunnelen

OpenSSH kjem frå ei eiga openssh-server-pakke og køyrer som si eiga teneste. Det er nyttig når ein administrator skal nå maskina over SSH, men OpenVPN treng ikkje ein SSH-server for å utveksle VPN-pakkar. Ein lokal konsoll eller ein godkjend plattformadministrasjonskanal er ein annan gyldig veg. Avgjer kva du stolar på før du endrar ruting eller filtrering, fordi ein ny tunnel aldri bør vere den einaste utesta måten å reparere seg sjølv på.

3. Gje ut legitimasjon frå den godkjende eigaren

Ubuntu-dømet installerer easy-rsa ved sida av OpenVPN for å byggje ein liten PKI, noko som er ei rolle for utgiving av legitimasjon og ikkje ei køyrande tunnelteneste. Viss organisasjonen alt har ein godkjend utgivingsprosess, bruk han i staden for å opprette ein urelatert CA fordi ei rettleiing inneheld ein. Hald gatewayen sin eigen private nøkkel og sertifikat skilde frå CA-signeringsnøkkelen, og vel signerings- og tryggingskopiplass med vilje. Kopiering av kvar PKI-fil til kvar vert er ikkje eit programvarekrav.

4. Lat skrivebordsprogramtillegg bli på skriveborda

Ein NetworkManager-redaktør eller eit importtillegg har ein hensikt på ei maskin som brukar den arbeidsflyten. Det er ikkje ein ekstra serverfunksjon som trengst fordi gatewayen snakkar OpenVPN.

Vel éin eigar av tilkoplinga, og ikkje start ein andre, skrivebordsstyrt kopi av same profil.

5. Godta gatewayen med ein ekte klient

Færre pakkar er ikkje ein ferdig gateway. Serveren treng framleis ein godkjend lyttar, identitetar, ruter, vidaresending der det trengst, ein smal brannmurpolicy og den tiltenkte returvegen. Skriv ned kvar loggane hans dukkar opp og korleis oppdateringar vert brukte, fordi dei to svara avgjer korleis ein feil vert diagnostisert seinare.

Eit design med internettutgang og eit design med tilgang til eit privat nettverk har ulike krav til vidaresending, så avgjer kva du byggjer før du opnar noko. Start éin godkjend klient og kontroller den tiltenkte ressursen i staden for tunnelindikatoren. Start så tenesta på nytt på ein kontrollert måte og stadfest oppstartsvegen utan tilsyn, fordi ein gateway som berre kjem opp medan nokon ser på, enno ikkje er rullet ut.