OpenVPN bez rozhrania: dohľadávaná relácia alebo spravovaná služba
Spustenie OpenVPN cez SSH je zmena vo vzdialenej sieti. Vyberte dohľadávanú reláciu alebo vlastnú službu a pripravte prihlasovacie údaje aj cestu späť.
Spustenie OpenVPN cez SSH ho spustí na vzdialenom stroji, v kontexte vykonávania tohto stroja. To z neho robí zmenu vo vzdialenej sieti, nie len vzdialené stlačenie tlačidla. Dva rozumné režimy sú dohľadávaná relácia na popredí a vlastná služba, a majú rôznu prípravu, rôzne prihlasovacie údaje a rôzne správanie pri zlyhaní.
Dva režimy, jeden profil
Oba režimy spotrebúvajú rovnaký profil a oba menia smerovanie na hostiteľovi. Líši sa to, kto je pri spustení prítomný, a čo sa stane po skončení relácie.
| Mode | Useful for | What it needs |
|---|---|---|
| Supervised foreground session | A connection with a human watching and able to type | A usable terminal, a reviewed profile and recovery access |
| Managed service | An unattended lifecycle that starts without a login | Owned configuration, supported credential delivery and restart policy |
Režim na popredí je pre dohľadávané pripojenie, pri ktorom je niekto prítomný. Režim služby je pre pripojenie, ktoré má nabiehnuť bez prihláseného používateľa. Miešať ich tak, že necháte bežať proces na popredí a zároveň povolíte službu na tom istom profile, je tu najčastejšia vlastnoručne spôsobená porucha.
Čo je dohľadávaná relácia na popredí naozaj
Proces OpenVPN na popredí má bežať ďalej, kým je tunel aktívny. Initialization Sequence Completed znamená, že inicializácia sa skončila, nie že máte čakať na návrat výzvy. Grafické rozhranie pracovnej plochy skrýva tú dlhú prácu za oknom, a práve preto ľudia očakávajú, že príkaz SSH sa bude správať rovnako. Nespráva.
Skontrolujte prístup aplikácie zvlášť. Obsadený terminál a jeden riadok protokolu nedokazujú ani úspech, ani zlyhanie.
Čo potrebuje služba bez dohľadu
Služba štartuje s vlastným účtom, pracovným adresárom a obmedzeniami systému súborov, a to všetko sa líši od vášho shellu. Používajte explicitné cesty a primerané vlastníctvo namiesto spoliehania sa na to, kde ste náhodou stáli. Dajte jednotke politiku reštartu, ktorú naozaj chcete, pretože slučka pripájania bez ústupu zapĺňa protokol a dráždi protistranu. Potom overte, že nabiehne po reštarte, a nie až po vašom ďalšom prihlásení.
Interaktívna MFA rozbíja prípad bez dohľadu už z princípu. Ak profil vyžaduje kód zadaný človekom, nie je to služba bez dohľadu, a uložený jednorazový kód nie je návrh prihlasovacích údajov. Rozhodnite to vedome, namiesto toho, aby ste to zistili pri štarte.
Prihlasovacie údaje sú štyri rôzne vstupy
OpenVPN má príručku, ktorá oddeľuje vstup z konzoly, súbory prihlasovacích údajov, heslá k súkromnému kľúču a interakciu riadenú správou. Dvojica používateľského mena a hesla je jedna vec a heslo k šifrovanému kľúču druhá. Rozhranie správy, ktoré dodáva prihlasovacie údaje na požiadanie, je tretie. Vyberte mechanizmus, ktorý zodpovedá vášmu návrhu autentizácie, namiesto spájania všetkého do jedného súboru, pretože to raz fungovalo.
Chráňte profily a protokoly, ktoré nesú identitu alebo súkromný materiál. Číta ich servisný účet, a tiež ktokoľvek so správnym členstvom v skupine.
Jeden vlastník a cesta späť
Zachovajte si svoju SSH administratívnu cestu, kým povolíte širokú trasu tunela. Konfigurácia plného tunela s koncovým bodom, ktorý zomrie, môže nechať stroj nedostupný, a oprava potom vyžaduje konzolu, ktorú ste nezaistili. Schválená konzola mimo pásma alebo vedomá politika návratu správy je poistka.
Vyberte jedného vlastníka konfigurácie pre rutinnú prevádzku. Automatická služba a proces na popredí, ktoré súperia o rovnaké rozhrania, trasy a stav resolvera, produkujú poruchy, ktoré vyzerajú ako problém poskytovateľa. Zastavte dohľadávané spustenie jeho obvyklým prerušením a spravované cez jeho správcu, namiesto zabíjania každého procesu menom openvpn.
Rozdiel, ktorý sa oplatí zapísať, je jednoduchý: dohľadávané spustenie môže závisieť od vašej relácie, a služba bez dohľadu nie.