Katere programske vloge potrebuje brezglava prehod OpenVPN

Stroj, namenjen prehodu OpenVPN, potrebuje podprto namestitev strežnika in programsko opremo za opravila, ki jih dejansko izvaja. Namestitveni meni, ki ponuja SSH, spletno gostovanje in druge strežniške vloge, ni seznam predpogojev za OpenVPN. Namestitev brez zaslona je povsem smiselna. Pomembno je ločiti tri opravila: prenašanje tunela, upravljanje gostitelja in izdajanje poverilnic.

To je vrstni red popisa, ki ga uporabljam, s preverjanjem, ki zaključi vsak korak.

1. Dajte tunelski storitvi svoj paket in profil

Vodnik strežnika OpenVPN za Ubuntu uporablja paket openvpn distribucije z ukazno vrstico in konfiguracijo storitve. Isti paket služi kot odjemalec Linux, vlogo pa izbere konfiguracija.

To pomeni, da namestitev odjemalskega GUI ni tisto, kar gostitelja spremeni v strežnik, in njegova odstranitev ni tisto, kar ga naredi brezglavega. Zapišite, kateri profil bere delujoča instanca, ker se druga konfiguracijska datoteka v isti mapi lahko naloži, ne da bi kdo opazil, in demon v obeh primerih poroča o uspehu. Ko obstajata dva profila, odloči upravitelj storitev, kateri zmaga, in ta odločitev spada v vaše zapiske, ne v ugibanje.

2. Odločite se o poti upravljanja pred tunelom

OpenSSH prihaja iz ločenega paketa openssh-server in teče kot lastna storitev. Uporaben je, ko mora skrbnik do stroja po SSH, vendar OpenVPN ne potrebuje strežnika SSH za izmenjavo paketov VPN. Krajevna konzola ali odobren kanal za upravljanje platforme je druga veljavna pot. Odločite se, na katero se zanašate, preden spremenite usmerjanje ali filtriranje, ker nov tunel nikoli ne sme biti edini nepreizkušeni način, da se popravi sam.

3. Izdajajte poverilnice pri odobrenem lastniku

Primer Ubuntu namesti easy-rsa ob OpenVPN, da zgradi majhen PKI, kar je vloga izdajanja poverilnic in ne delujoča tunelska storitev. Če ima organizacija že odobren postopek izdajanja, uporabite tega, namesto da ustvarite nepovezan CA samo zato, ker ga vsebuje vadnica. Hranite lastni zasebni ključ in potrdilo prehoda ločeno od podpisnega ključa CA in zavestno izberite mesto podpisovanja in varnostne kopije. Kopiranje vsake datoteke PKI na vsakega gostitelja ni programska zahteva.

4. Pustite namestitvene vtičnike namizjem

Urejevalnik NetworkManagerja ali vtičnik za uvoz ima smisel na stroju, ki uporablja ta delovni tok. To ni dodatna strežniška funkcija, potrebna zato, ker prehod govori OpenVPN.

Izberite enega lastnika povezave in ne zaženite druge kopije istega profila, ki bi jo upravljal namizni računalnik.

5. Sprejmite prehod s pravim odjemalcem

Manj paketov ni dokončan prehod. Strežnik še vedno potrebuje odobrenega poslušalca, identitete, poti, posredovanje, kjer je potrebno, ozko požarno politiko in predvideno povratno pot. Zapišite, kje se pojavijo njegovi dnevniki in kako se uporabljajo posodobitve, ker ta dva odgovora določata, kako bo napaka pozneje diagnosticirana.

Zasnova z izhodom v internet in zasnova z dostopom do zasebnega omrežja imata različne zahteve po posredovanju, zato se odločite, katero gradite, preden karkoli odprete. Zaženite enega odobrenega odjemalca in preverite predvideni vir, ne kazalca tunela. Nato znova zaženite storitev na nadzorovan način in potrdite pot samodejnega zagona, ker prehod, ki se dvigne le, ko nekdo gleda, še ni nameščen.