Aké softvérové roly potrebuje bezobslužná brána OpenVPN

Stroj vyhradený bráne OpenVPN potrebuje podporovanú inštaláciu servera a softvér pre úlohy, ktoré skutočne vykonáva. Ponuka inštalátora s SSH, webhostingom a ďalšími rolami servera nie je zoznamom predpokladov pre OpenVPN. Nasadenie bez obrazovky je úplne rozumné. Dôležité je oddeliť tri úlohy: prenos tunela, správu hostiteľa a vydávanie prihlasovacích údajov.

Toto je poradie inventúry, ktoré používam, s kontrolou, ktorá uzatvára každý krok.

1. Dajte tunelovej službe vlastný balík a profil

Príručka servera OpenVPN pre Ubuntu používa balík openvpn distribúcie s príkazovým riadkom a konfiguráciou služby. Ten istý balík slúži ako linuxový klient a rolu vyberá konfigurácia.

To znamená, že inštalácia klientského GUI nie je to, čo zo stroja robí server, a jeho odstránenie nie je to, čo ho robí bezobslužným. Poznamenajte si, ktorý profil číta bežiaca inštancia, pretože druhý konfiguračný súbor v tom istom adresári sa môže načítať bez toho, aby si to niekto všimol, a démon hlási úspech v oboch prípadoch. Keď existujú dva profily, rozhoduje správca služieb, ktorý vyhrá, a to rozhodnutie patrí do vašich poznámok, nie do odhadu.

2. Rozhodnite o ceste správy skôr než o tuneli

OpenSSH pochádza zo samostatného balíka openssh-server a beží ako vlastná služba. Je užitočný, keď má správca pristupovať k stroju cez SSH, ale OpenVPN nepotrebuje SSH server na výmenu VPN paketov. Miestna konzola alebo schválený kanál správy platformy je ďalšia platná cesta. Rozhodnite, na ktorú sa spoliehate, skôr než zmeníte smerovanie alebo filtrovanie, pretože nový tunel by nikdy nemal byť jediným netestovaným spôsobom, ako sa opraviť.

3. Vydávajte prihlasovacie údaje od schváleného vlastníka

Príklad z Ubuntu inštaluje easy-rsa vedľa OpenVPN, aby postavil malú PKI, čo je rola vydávania prihlasovacích údajov, nie bežiaca tunelová služba. Ak má organizácia už schválený proces vydávania, použite ho namiesto vytvárania nesúvisiacej CA len preto, že ju návod obsahuje. Udržujte vlastný privátny kľúč a certifikát brány oddelené od podpisového kľúča CA a miesto pre podpis a zálohu vyberajte vedome. Kopírovanie každého súboru PKI na každý hostiteľ nie je softvérová požiadavka.

4. Nechajte desktopové pluginy desktopom

Editor NetworkManageru alebo plugin pre import má zmysel na stroji, ktorý tento postup používa. Nie je to ďalšia funkcia servera potrebná preto, že brána hovorí OpenVPN.

Vyberte jedného vlastníka pripojenia a nespúšťajte druhú kópiu rovnakého profilu spravovanú z desktopu.

5. Prijmite bránu skutočným klientom

Menej balíkov nie je hotová brána. Server stále potrebuje schválený naslúchací proces, identity, trasy, preposielanie tam, kde treba, úzku politiku firewallu a zamýšľanú spiatočnú cestu. Zapíšte, kde sa objavujú jeho logy a ako sa aplikujú aktualizácie, pretože tieto dve odpovede rozhodujú o tom, ako sa porucha neskôr diagnostikuje.

Návrh s výstupom do internetu a návrh s prístupom do privátnej siete majú rôzne požiadavky na preposielanie, takže sa rozhodnite, ktorý staviate, skôr než niečo otvoríte. Spustite jedného schváleného klienta a skontrolujte zamýšľaný prostriedok, nie indikátor tunela. Potom reštartujte službu riadeným spôsobom a potvrďte cestu automatického štartu, pretože brána, ktorá naskočí len vtedy, keď sa niekto pozerá, ešte nie je nasadená.