Jakich ról oprogramowania potrzebuje bezgłowa brama OpenVPN
Mała brama OpenVPN potrzebuje przemyślanej usługi tunelowej i ścieżki administracji, a nie każdej opcjonalnej roli serwera. Oddziel tunel od SSH i PKI.
Maszyna przeznaczona na bramę OpenVPN potrzebuje obsługiwanej instalacji serwera oraz oprogramowania do zadań, które naprawdę wykonuje. Menu instalatora oferujące SSH, hosting WWW i inne role serwera nie jest listą wymagań wstępnych OpenVPN. Wdrożenie bez ekranu jest całkowicie rozsądne. Najważniejsze jest rozdzielenie trzech zadań: przenoszenia tunelu, administrowania hostem i wydawania poświadczeń.
Oto kolejność inwentaryzacji, której używam, wraz z kontrolą zamykającą każdy krok.
1. Daj usłudze tunelowej własny pakiet i profil
Przewodnik serwera OpenVPN dla Ubuntu używa pakietu openvpn dystrybucji z wierszem poleceń i konfiguracją usługi. Ten sam pakiet służy jako klient Linuksa, a rolę wybiera konfiguracja.
Oznacza to, że zainstalowanie GUI klienta nie czyni hosta serwerem, a jego usunięcie nie czyni go bezgłowym. Zanotuj, który profil czyta działająca instancja, ponieważ drugi plik konfiguracyjny w tym samym katalogu może zostać wczytany niezauważenie, a demon w obu przypadkach zgłasza sukces. Gdy istnieją dwa profile, menedżer usług decyduje, który wygrywa, i ta decyzja należy do twoich notatek, a nie do domysłu.
2. Ustal ścieżkę administracji przed tunelem
OpenSSH pochodzi z osobnego pakietu openssh-server i działa jako własna usługa. Jest przydatny, gdy administrator ma dotrzeć do maszyny przez SSH, ale OpenVPN nie potrzebuje serwera SSH do wymiany pakietów VPN. Lokalna konsola lub zatwierdzony kanał zarządzania platformą to inna ważna ścieżka. Zdecyduj, na której polegasz, zanim zmienisz routing lub filtrowanie, ponieważ nowy tunel nigdy nie powinien być jedynym nieprzetestowanym sposobem naprawienia samego siebie.
3. Wydawaj poświadczenia od zatwierdzonego właściciela
Przykład z Ubuntu instaluje easy-rsa obok OpenVPN, aby zbudować małe PKI, co jest rolą wydawania poświadczeń, a nie działającą usługą tunelową. Jeśli organizacja ma już zatwierdzony proces wydawania, użyj go zamiast tworzyć niepowiązane CA tylko dlatego, że poradnik je zawiera. Trzymaj własny klucz prywatny i certyfikat bramy oddzielnie od klucza podpisującego CA i świadomie wybierz miejsce podpisywania oraz kopii zapasowej. Kopiowanie każdego pliku PKI na każdy host nie jest wymaganiem oprogramowania.
4. Zostaw wtyczki pulpitu pulpitom
Edytor NetworkManagera lub wtyczka importu ma sens na maszynie, która używa tego przepływu pracy. To nie jest dodatkowa funkcja serwera potrzebna dlatego, że brama mówi po OpenVPN.
Wybierz jednego właściciela połączenia i nie uruchamiaj drugiej, zarządzanej z pulpitu kopii tego samego profilu.
5. Przyjmij bramę prawdziwym klientem
Mniej pakietów nie oznacza gotowej bramy. Serwer nadal potrzebuje zatwierdzonego nasłuchu, tożsamości, tras, przekazywania tam, gdzie trzeba, wąskiej polityki zapory i zamierzonej ścieżki powrotnej. Zapisz, gdzie pojawiają się jego logi i jak stosowane są aktualizacje, ponieważ te dwie odpowiedzi decydują, jak później zdiagnozuje się awarię.
Projekt z wyjściem do internetu i projekt z dostępem do sieci prywatnej mają różne wymagania dotyczące przekazywania, więc zdecyduj, który budujesz, zanim cokolwiek otworzysz. Uruchom jednego zatwierdzonego klienta i sprawdź zamierzony zasób, a nie wskaźnik tunelu. Następnie zrestartuj usługę w kontrolowany sposób i potwierdź ścieżkę automatycznego startu, ponieważ brama, która wstaje tylko wtedy, gdy ktoś patrzy, nie jest jeszcze wdrożona.