OpenVPN fără interfață: sesiune supravegheată sau serviciu gestionat

Pornirea OpenVPN prin SSH îl pornește pe mașina la distanță, în contextul de execuție al acelei mașini. Asta îl face o modificare în rețeaua la distanță, nu doar o apăsare de buton de la distanță. Cele două moduri rezonabile sunt o sesiune în prim-plan supravegheată și un serviciu propriu, și au pregătire, acreditări și comportament la eșec diferite.

Două moduri, un profil

Ambele moduri folosesc același profil și ambele modifică rutarea pe gazdă. Ce diferă este cine este prezent la pornire și ce se întâmplă după ce sesiunea se termină.

Modul în prim-plan este pentru o conexiune supravegheată în care cineva este prezent. Modul serviciu este pentru o conexiune care trebuie să urce fără ca nimeni să fie autentificat. Amestecarea lor, lăsând un proces în prim-plan să ruleze și activând totodată un serviciu pe același profil, este cea mai frecventă defecțiune auto-provovată aici.

Ce este de fapt sesiunea în prim-plan

Un proces OpenVPN în prim-plan ar trebui să continue să ruleze cât timp tunelul este activ. Initialization Sequence Completed înseamnă că inițializarea s-a terminat, nu că trebuie să așteptați revenirea unui prompt. O interfață grafică de desktop ascunde acea muncă îndelungată în spatele unei ferestre, și exact de aceea oamenii se așteaptă ca comanda SSH să se comporte la fel. Nu se comportă.

Verificați separat accesul aplicației. Un terminal ocupat și o linie de jurnal nu dovedesc nici succesul, nici eșecul.

De ce are nevoie un serviciu nesupravegheat

Un serviciu pornește cu propriul cont, director de lucru și restricții de sistem de fișiere, și toate acestea diferă de shell-ul dumneavoastră. Folosiți căi explicite și proprietate potrivită în loc să vă bazați pe locul în care stăteați din întâmplare. Dați unității o politică de repornire pe care o doriți cu adevărat, pentru că o buclă de conectare fără retragere umple un jurnal și irită partea cealaltă. Apoi verificați că urcă după o repornire și nu după următoarea dumneavoastră autentificare.

MFA interactiv rupe cazul nesupravegheat prin proiectare. Dacă profilul cere un cod tastat de o persoană, nu este un serviciu nesupravegheat, iar un cod de unică folosință stocat nu este un proiect de acreditări. Decideți asta deliberat în loc să o descoperiți la pornire.

Acreditările sunt patru intrări diferite

Manualul OpenVPN separă intrarea de consolă, fișierele de acreditări, frazele de acces ale cheii private și interacțiunea condusă de management. O pereche de nume de utilizator și parolă este un lucru, iar fraza de acces a unei chei criptate este altul. O interfață de management care furnizează acreditări la cerere este a treia. Alegeți mecanismul care se potrivește proiectului dumneavoastră de autentificare în loc să concatenați totul într-un singur fișier pentru că asta a funcționat o dată.

Protejați profilurile și jurnalele care poartă identitate sau material privat. Contul de serviciu le citește, și la fel oricine are apartenența corectă la grup.

Un singur proprietar și o cale de întoarcere

Păstrați-vă calea de administrare SSH înainte de a activa o rută de tunel largă. O configurație de tunel complet cu un punct final care moare poate lăsa mașina inaccesibilă, iar reparația necesită atunci o consolă pe care nu ați pregătit-o. O consolă în afara benzii aprobată sau o politică deliberată de întoarcere a managementului este asigurarea.

Alegeți un singur proprietar al configurației pentru operarea de rutină. Un serviciu automat și un proces în prim-plan care concurează pentru aceleași interfețe, rute și stare a resolver-ului produc defecțiuni care arată ca o problemă a furnizorului. Opriți o execuție supravegheată cu întreruperea ei normală, iar una gestionată prin managerul ei, în loc să ucideți fiecare proces numit openvpn.

Distincția de reținut este simplă: o execuție supravegheată poate depinde de sesiunea dumneavoastră, iar un serviciu nesupravegheat nu.