OpenVPN без интерфејса: надгледана сесија или управљана услуга
Покретање OpenVPN-а преко SSH је промена у удаљеној мрежи. Изаберите надгледану сесију или сопствену услугу и припремите акредитиве и пут назад.
Покретање OpenVPN-а преко SSH га покреће на удаљеном рачунару, у контексту извршавања тог рачунара. То га чини променом у удаљеној мрежи, а не само удаљеним притиском на дугме. Два разумна режима су надгледана сесија у предњем плану и сопствена услуга, и имају различиту припрему, различите акредитиве и различито понашање при отказу.
Два режима, један профил
Оба режима користе исти профил и оба мењају рутирање на хосту. Разлика је ко је присутан при покретању и шта се дешава после краја сесије.
| Mode | Useful for | What it needs |
|---|---|---|
| Supervised foreground session | A connection with a human watching and able to type | A usable terminal, a reviewed profile and recovery access |
| Managed service | An unattended lifecycle that starts without a login | Owned configuration, supported credential delivery and restart policy |
Режим у предњем плану је за надгледану везу где је неко присутан. Режим услуге је за везу која треба да се подигне без икога пријављеног. Њихово мешање, остављањем процеса у предњем плану да ради и истовременим омогућавањем услуге на истом профилу, најчешћи је самонесени квар овде.
Шта је надгледана сесија у предњем плану заиста
Процес OpenVPN-а у предњем плану треба да настави да ради док је тунел активан. Initialization Sequence Completed значи да је иницијализација завршена, а не да треба чекати повратак команде. Десктоп GUI сакрива тај дуготрајни рад иза прозора, и управо зато људи очекују да се SSH команда понаша исто. Не понаша се тако.
Проверите приступ апликације одвојено. Заузет терминал и један ред у дневнику не доказују ни успех ни неуспех.
Шта је потребно ненадгледаној услузи
Услуга се покреће са сопственим налогом, радним директоријумом и ограничењима фајл система, и све се то разликује од ваше љуске. Користите експлицитне путање и одговарајуће власништво уместо да се ослањате на то где сте случајно стајали. Дајте јединици политику поновног покретања коју заиста желите, јер петља повезивања без одступања пуни дневник и нервира партнера. Затим проверите да се подиже после поновног покретања, а не после ваше следеће пријаве.
Интерактивна MFA квари ненадгледани случај по дизајну. Ако профил захтева код који уноси човек, то није ненадгледана услуга, а сачуван једнократни код није дизајн акредитива. Одлучите то свесно уместо да откријете при подизању.
Акредитиви су четири различита улаза
OpenVPN има приручник који раздваја унос са конзоле, датотеке акредитива, фразе за приватни кључ и интеракцију коју води управљачки интерфејс. Пар корисничког имена и лозинке је једно, а фраза шифрованог кључа друго. Интерфејс за управљање који даје акредитиве на захтев је трећи. Изаберите механизам који одговара вашем дизајну аутентификације уместо да све спојите у једну датотеку јер је то једном успело.
Заштите профиле и дневнике који носе идентитет или приватни материјал. Чита их налог услуге, као и свако са правилним чланством у групи.
Један власник и пут назад
Сачувајте своју SSH административну путању пре него што омогућите широку руту тунела. Конфигурација пуног тунела са крајњом тачком која умире може оставити рачунар недоступним, а поправка тада укључује конзолу коју нисте обезбедили. Одобрена конзола ван опсега или свесна политика враћања управљања је осигурање.
Изаберите једног власника конфигурације за рутински рад. Аутоматска услуга и процес у предњем плану који се такмиче за исте интерфејсе, руте и стање резолвера стварају кварове који изгледају као проблем провајдера. Зауставите надгледано покретање његовим нормалним прекидом, а управљано преко његовог менаџера уместо убијања сваког процеса по имену openvpn.
Разлика коју треба записати је једноставна: надгледано покретање може зависити од ваше сесије, а ненадгледана услуга не сме.