OpenVPN แบบไม่มีหน้าจอ: เซสชันที่เฝ้าดูหรือบริการที่จัดการ
การเริ่ม OpenVPN ผ่าน SSH คือการเปลี่ยนเครือข่ายระยะไกล เลือกเซสชันที่เฝ้าดูหรือบริการของคุณเอง และเตรียมข้อมูลรับรองพร้อมทางกลับ
การเรียก OpenVPN ผ่าน SSH จะเริ่มมันบนเครื่องระยะไกล ในบริบทการทำงานของเครื่องนั้น นั่นทำให้เป็นการเปลี่ยนเครือข่ายระยะไกล ไม่ใช่แค่การกดปุ่มจากระยะไกล สองโหมดที่สมเหตุสมผลคือเซสชันเบื้องหน้าภายใต้การเฝ้าดูและบริการที่เป็นของคุณเอง และทั้งสองมีขั้นเตรียมการ ข้อมูลรับรอง และพฤติกรรมเมื่อล้มเหลวต่างกัน
สองโหมด หนึ่งโปรไฟล์
ทั้งสองโหมดใช้โปรไฟล์เดียวกัน และทั้งสองเปลี่ยนเส้นทางบนโฮสต์ สิ่งที่ต่างกันคือใครอยู่ตอนเริ่ม และอะไรเกิดขึ้นหลังเซสชันจบ
| Mode | Useful for | What it needs |
|---|---|---|
| Supervised foreground session | A connection with a human watching and able to type | A usable terminal, a reviewed profile and recovery access |
| Managed service | An unattended lifecycle that starts without a login | Owned configuration, supported credential delivery and restart policy |
โหมดเบื้องหน้าสำหรับการเชื่อมต่อที่เฝ้าดูซึ่งมีคนอยู่ โหมดบริการสำหรับ การเชื่อมต่อที่ควรขึ้นโดยไม่มีใครล็อกอิน การผสมทั้งสองเข้าด้วยกัน ด้วยการปล่อยให้โพรเซสเบื้องหน้าทำงานอยู่และเปิดบริการบนโปรไฟล์เดียวกันด้วย คือความเสียหายที่พบบ่อยที่สุดที่ทำเองตรงนี้
เซสชันเบื้องหน้าคืออะไรกันแน่
โพรเซส OpenVPN เบื้องหน้าควรทำงานต่อเนื่องตราบที่อุโมงค์ยังขึ้นอยู่ Initialization Sequence Completed หมายความว่าการเริ่มต้นเสร็จแล้ว ไม่ใช่ให้รอพรอมป์กลับมา GUI เดสก์ทอปซ่อนงานยาวนั้นไว้หลังหน้าต่าง และนั่นคือเหตุผลที่คนคาดหวังให้คำสั่ง SSH ทำตัวเหมือนกัน มันไม่ทำ
ตรวจสอบการเข้าถึงของแอปพลิเคชันแยกต่างหาก เทอร์มินัลที่ถูกใช้อยู่และบันทึกหนึ่งบรรทัดไม่ได้พิสูจน์ทั้งความสำเร็จและความล้มเหลว
บริการที่ไม่มีการเฝ้าดูต้องมีอะไร
บริการเริ่มด้วยบัญชี ไดเรกทอรีทำงาน และข้อจำกัดระบบไฟล์ของตัวเอง และทั้งหมดนั้นต่างจากเชลล์ของคุณ ใช้เส้นทางที่ชัดเจนและความเป็นเจ้าของที่เหมาะสมแทนการพึ่งพาว่าคุณบังเอิญยืนอยู่ที่ไหน ให้ยูนิตมีนโยบายรีสตาร์ตที่คุณต้องการจริง ๆ เพราะลูปการเชื่อมต่อที่ไม่มีการถอยกลับจะเติมบันทึกและรบกวนอีกฝ่าย จากนั้นตรวจสอบว่ามันขึ้นหลังรีบูต ไม่ใช่หลังการล็อกอินครั้งถัดไปของคุณ
MFA แบบโต้ตอบทำลายกรณีที่ไม่มีการเฝ้าดูโดยการออกแบบ ถ้าโปรไฟล์ต้องใช้รหัสที่คนพิมพ์ มันไม่ใช่บริการที่ไม่มีการเฝ้าดู และรหัสใช้ครั้งเดียวที่เก็บไว้ก็ไม่ใช่การออกแบบข้อมูลรับรอง ตัดสินใจเรื่องนี้อย่างตั้งใจแทนการค้นพบตอนบูต
ข้อมูลรับรองคืออินพุตสี่อย่างที่ต่างกัน
คู่มือของ OpenVPN แยกอินพุตคอนโซล ไฟล์ข้อมูลรับรอง วลีรหัสผ่านของคีย์ส่วนตัว และการโต้ตอบที่ขับเคลื่อนด้วยการจัดการ คู่ชื่อผู้ใช้และรหัสผ่านเป็นสิ่งหนึ่ง และวลีรหัสผ่านของคีย์ที่เข้ารหัสเป็นอีกสิ่งหนึ่ง อินเทอร์เฟซการจัดการที่ให้ข้อมูลรับรองตามคำขอเป็นอย่างที่สาม เลือกกลไกที่ตรงกับการออกแบบการพิสูจน์ตัวตนของคุณแทนการต่อทุกอย่างไว้ในไฟล์เดียวเพราะมันบังเอิญได้ผลครั้งหนึ่ง
ปกป้องโปรไฟล์และบันทึกที่พกพาตัวตนหรือวัสดุส่วนตัว บัญชีบริการอ่านมัน และใครก็ตามที่มีสมาชิกกลุ่มที่ถูกต้องก็อ่านด้วย
เจ้าของหนึ่งราย และทางกลับ
รักษาเส้นทางบริหาร SSH ของคุณก่อนเปิดเส้นทางอุโมงค์กว้าง การกำหนดค่าอุโมงค์เต็มที่มีปลายทางตายอาจทำให้เครื่องเข้าถึงไม่ได้ และการซ่อมแซมก็ต้องใช้คอนโซลที่คุณไม่ได้จัดเตรียม คอนโซลนอกแบนด์ที่ได้รับอนุมัติหรือนโยบายการกลับมาของการจัดการอย่างตั้งใจคือการประกัน
เลือกเจ้าของการกำหนดค่าหนึ่งรายสำหรับการดำเนินงานประจำ บริการอัตโนมัติและโพรเซสเบื้องหน้าที่แข่งขันกันเพื่ออินเทอร์เฟซ เส้นทาง และสถานะตัวแก้ไขเดียวกันจะสร้างความล้มเหลวที่ดูเหมือนปัญหาของผู้ให้บริการ หยุดการทำงานแบบเฝ้าดูด้วยการขัดจังหวะปกติ และหยุดแบบจัดการผ่านตัวจัดการของมัน แทนการฆ่าทุกโพรเซสที่ชื่อ openvpn
ความแตกต่างที่ควรจดไว้เรียบง่าย: การทำงานแบบเฝ้าดูอาจขึ้นกับเซสชันของคุณ และบริการที่ไม่มีการเฝ้าดูต้องไม่ขึ้นกับมัน