OpenVPN brez vmesnika: nadzorovana seja ali upravljana storitev
Zagon OpenVPN prek SSH je sprememba v oddaljenem omrežju. Izberite nadzorovano sejo ali lastno storitev ter pripravite poverilnice in pot nazaj.
Zagon OpenVPN prek SSH ga zažene na oddaljenem računalniku, v izvajalnem kontekstu tega računalnika. To iz njega naredi spremembo v oddaljenem omrežju, ne le oddaljen pritisk gumba. Dva smiselna načina sta nadzorovana seja v ospredju in lastna storitev, in imata različno pripravo, različne poverilnice in različno vedenje ob napaki.
Dva načina, en profil
Oba načina uporabljata isti profil in oba spreminjata usmerjanje na gostitelju. Razlikuje se, kdo je ob zagonu prisoten, in kaj se zgodi po koncu seje.
| Mode | Useful for | What it needs |
|---|---|---|
| Supervised foreground session | A connection with a human watching and able to type | A usable terminal, a reviewed profile and recovery access |
| Managed service | An unattended lifecycle that starts without a login | Owned configuration, supported credential delivery and restart policy |
Način v ospredju je za nadzorovano povezavo, kjer je nekdo prisoten. Način storitve je za povezavo, ki mora vstati brez prijavljenega uporabnika. Mešanje obeh, tako da pustimo proces v ospredju delovati in hkrati omogočimo storitev na istem profilu, je tu najpogostejša sama povzročena okvara.
Kaj je seja v ospredju v resnici
Proces OpenVPN v ospredju naj bi deloval, dokler je tunel aktiven. Initialization Sequence Completed pomeni, da je inicializacija končana, ne da je treba čakati na vrnitev poziva. Namizni grafični vmesnik skrije to dolgo delo za oknom, in prav zato ljudje pričakujejo, da se bo ukaz SSH obnašal enako. Ne obnaša se.
Dostop aplikacije preverite ločeno. Zaseden terminal in ena vrstica dnevnika ne dokazujeta ne uspeha ne neuspeha.
Kaj potrebuje nenadzorovana storitev
Storitev se zažene z lastnim računom, delovno mapo in omejitvami datotečnega sistema, in vse to se razlikuje od vaše lupine. Uporabite izrecne poti in ustrezno lastništvo, namesto da se zanašate na to, kje ste slučajno stali. Enoti dajte politiko ponovnega zagona, ki si jo resnično želite, ker zanka povezovanja brez umika napolni dnevnik in draži nasprotno stran. Nato preverite, da se dvigne po ponovnem zagonu in ne po vaši naslednji prijavi.
Interaktivna MFA po zasnovi zlomi nenadzorovani primer. Če profil zahteva kodo, ki jo vtipka človek, to ni nenadzorovana storitev, shranjena enkratna koda pa ni zasnova poverilnic. Odločite se za to zavestno, namesto da bi to odkrili ob zagonu.
Poverilnice so štirje različni vhodi
OpenVPN ima priročnik, ki ločuje vhod s konzole, datoteke s poverilnicami, gesla zasebnega ključa in interakcijo, ki jo vodi upravljanje. Par uporabniškega imena in gesla je ena stvar, geslo šifriranega ključa pa druga. Vmesnik za upravljanje, ki ob zahtevi zagotovi poverilnice, je tretja. Izberite mehanizem, ki ustreza vaši zasnovi preverjanja pristnosti, namesto da vse povežete v eno datoteko, ker je to nekoč uspelo.
Zaščitite profile in dnevnike, ki nosijo identiteto ali zasebno gradivo. Bere jih račun storitve, pa tudi vsakdo s pravilnim članstvom v skupini.
En lastnik in pot nazaj
Ohranite svojo pot upravljanja po SSH, preden omogočite široko pot tunela. Konfiguracija polnega tunela s končno točko, ki umre, lahko pusti računalnik nedosegljiv, popravilo pa potem zahteva konzolo, ki je niste zagotovili. Odobrena konzola zunaj pasu ali zavestna politika vrnitve upravljanja je zavarovanje.
Izberite enega lastnika konfiguracije za rutinsko delovanje. Samodejna storitev in proces v ospredju, ki tekmujeta za iste vmesnike, poti in stanje razreševalnika, ustvarjata okvare, ki izgledajo kot težava ponudnika. Ustavite nadzorovano izvajanje z njegovo običajno prekinitvijo, upravljano pa prek njegovega upravitelja, namesto da ubijete vsak proces z imenom openvpn.
Razlika, ki jo velja zapisati, je preprosta: nadzorovano izvajanje je lahko odvisno od vaše seje, nenadzorovana storitev pa ne.