Које софтверске улоге су потребне безекранском OpenVPN пролазу

Машина посвећена OpenVPN пролазу треба подржану серверску инсталацију и софтвер за послове које заиста обавља. Инсталациони мени који нуди SSH, веб хостинг и друге серверске улоге није списак OpenVPN предуслова. Постављање без екрана је потпуно разумно. Важно је раздвојити три посла: преношење тунела, администрацију хоста и издавање акредитива.

Ово је редослед пописа који користим, са провером која затвара сваки корак.

1. Дајте тунелској услузи сопствени пакет и профил

Водич за OpenVPN сервер на Убунтуу користи дистрибуцијски пакет openvpn са командном линијом и конфигурацијом услуге. Исти пакет служи као Linux клијент, а улогу бира конфигурација.

То значи да инсталирање клијентског GUI-ја није оно што хост претвара у сервер, а његово уклањање није оно што га чини безекранским. Забележите који профил чита покренута инстанца, јер се други конфигурацијски фајл у истом директоријуму може учитати без да икоме то падне на памет, а демон у оба случаја пријављује успех. Кад постоје два профила, сервисни менаџер одлучује који побеђује, а та одлука припада вашим белешкама, а не нагађању.

2. Одлучите о путу администрације пре тунела

OpenSSH долази из засебног пакета openssh-server и ради као сопствена услуга. Користан је кад администратор треба да достигне машину преко SSH-а, али OpenVPN не треба SSH сервер за размену VPN пакета. Локална конзола или одобрен канал за управљање платформом други је ваљан пут. Одлучите на који се ослањате пре него што промените рутирање или филтрирање, јер нови тунел никада не сме бити једини неиспробани начин да сам себе поправи.

3. Издајте акредитиве од одобреног власника

Пример за Убунту инсталира easy-rsa уз OpenVPN да би изградио мали PKI, што је улога издавања акредитива, а не покренута тунелска услуга. Ако организација већ има одобрен процес издавања, користите га уместо да стварате неповезани CA зато што га водич садржи. Држите сопствени приватни кључ и сертификат пролаза одвојено од CA кључа за потписивање, а место за потписивање и сигурносну копију бирајте намерно. Копирање сваког PKI фајла на сваки хост није софтверски захтев.

4. Оставите десктоп додатке десктопима

NetworkManager уређивач или додатак за увоз има сврху на машини која користи тај ток рада. То није додатна серверска функција потребна зато што пролаз говори OpenVPN.

Изаберите једног власника везе и не покрећите другу, са десктопа управљану копију истог профила.

5. Прихватите пролаз стварним клијентом

Мање пакета није готов пролаз. Серверу још требају одобрени слушалац, идентитети, руте, прослеђивање где је потребно, уска firewall политика и предвиђени повратни пут. Запишите где се појављују његови логови и како се примењују ажурирања, јер та два одговора одређују како ће се квар касније дијагностиковати.

Дизајн излаза на интернет и дизајн приступа приватној мрежи имају различите захтеве за прослеђивање, зато одлучите који градите пре него што било шта отворите. Подигните једног одобреног клијента и проверите предвиђени ресурс, а не индикатор тунела. Затим поново покрените услугу на контролисан начин и потврдите пут аутоматског покретања, јер пролаз који се подиже само док неко гледа још није постављен.