เกตเวย์ OpenVPN แบบไม่มีจอต้องใช้บทบาทซอฟต์แวร์ใดบ้าง

เครื่องที่อุทิศให้เกตเวย์ OpenVPN ต้องมีการติดตั้งเซิร์ฟเวอร์ที่รองรับและซอฟต์แวร์สำหรับงานที่ทำจริง เมนูตัวติดตั้งที่เสนอ SSH การโฮสต์เว็บและบทบาทเซิร์ฟเวอร์อื่นไม่ใช่รายการข้อกำหนดเบื้องต้นของ OpenVPN การติดตั้งโดยไม่มีจอเป็นเรื่องสมเหตุสมผลอย่างยิ่ง สิ่งสำคัญคือการแยกสามงานออกจากกัน คือการแบกอุโมงค์ การบริหารโฮสต์ และการออกข้อมูลรับรอง

นี่คือลำดับการตรวจสอบที่ผมใช้ พร้อมการตรวจที่ปิดแต่ละขั้น

1. ให้บริการอุโมงค์มีแพ็กเกจและโปรไฟล์ของตัวเอง

คู่มือเซิร์ฟเวอร์ OpenVPNของ Ubuntu ใช้แพ็กเกจ openvpn ของดิสทริบิวชันพร้อมบรรทัดคำสั่งและการกำหนดค่าบริการ แพ็กเกจเดียวกันทำหน้าที่เป็นไคลเอนต์ Linux และการกำหนดค่าเป็นตัวเลือกบทบาท

นั่นหมายความว่าการติดตั้ง GUI ไคลเอนต์ไม่ใช่สิ่งที่ทำให้โฮสต์เป็นเซิร์ฟเวอร์ และการถอนออกก็ไม่ใช่สิ่งที่ทำให้ไม่มีจอ บันทึกว่าโปรไฟล์ใดที่อินสแตนซ์ที่ทำงานอยู่อ่าน เพราะไฟล์กำหนดค่าไฟล์ที่สองในไดเรกทอรีเดียวกันอาจถูกโหลดโดยไม่มีใครสังเกต และดีมอนรายงานความสำเร็จในทั้งสองกรณี เมื่อมีสองโปรไฟล์ ตัวจัดการบริการเป็นผู้ตัดสินว่าใครชนะ และการตัดสินนั้นเป็นของบันทึกของคุณ ไม่ใช่การเดา

2. ตัดสินเส้นทางการบริหารก่อนอุโมงค์

OpenSSH มาจากแพ็กเกจ openssh-server แยกต่างหากและทำงานเป็นบริการของตัวเอง มันมีประโยชน์เมื่อผู้ดูแลต้องเข้าถึงเครื่องผ่าน SSH แต่OpenVPNไม่ต้องการเซิร์ฟเวอร์ SSH เพื่อแลกเปลี่ยนแพ็กเก็ต VPN คอนโซลภายในหรือช่องทางบริหารแพลตฟอร์มที่ได้รับอนุมัติเป็นอีกเส้นทางที่ใช้ได้ ตัดสินว่าคุณพึ่งพาเส้นทางใดก่อนเปลี่ยนเส้นทางการกำหนดเส้นทางหรือการกรอง เพราะอุโมงค์ใหม่ไม่ควรเป็นวิธีเดียวที่ยังไม่ได้ทดสอบในการซ่อมตัวเอง

3. ออกข้อมูลรับรองจากเจ้าของที่ได้รับอนุมัติ

ตัวอย่างของ Ubuntu ติดตั้ง easy-rsa ควบคู่กับ OpenVPN เพื่อสร้าง PKI ขนาดเล็ก ซึ่งเป็นบทบาทการออกข้อมูลรับรอง ไม่ใช่บริการอุโมงค์ที่ทำงานอยู่ หากองค์กรมีกระบวนการออกที่ได้รับอนุมัติอยู่แล้ว ให้ใช้สิ่งนั้นแทนการสร้าง CA ที่ไม่เกี่ยวข้องเพียงเพราะบทแนะนำมีอยู่ เก็บกุญแจส่วนตัวและใบรับรองของเกตเวย์ให้แยกจากกุญแจลงนามของ CA และเลือกตำแหน่งการลงนามและการสำรองข้อมูลอย่างตั้งใจ การคัดลอกไฟล์ PKI ทุกไฟล์ไปยังทุกโฮสต์ไม่ใช่ข้อกำหนดของซอฟต์แวร์

4. ปล่อยปลั๊กอินเดสก์ท็อปไว้กับเดสก์ท็อป

ตัวแก้ไข NetworkManager หรือปลั๊กอินนำเข้ามีประโยชน์บนเครื่องที่ใช้เวิร์กโฟลว์นั้น มันไม่ใช่คุณสมบัติเซิร์ฟเวอร์เพิ่มเติมที่จำเป็นเพราะเกตเวย์พูด OpenVPN

เลือกเจ้าของการเชื่อมต่อหนึ่งราย และอย่าเริ่มสำเนาที่สองของโปรไฟล์เดียวกันที่จัดการจากเดสก์ท็อป

5. ยอมรับเกตเวย์ด้วยไคลเอนต์จริง

แพ็กเกจที่น้อยลงไม่ใช่เกตเวย์ที่สมบูรณ์ เซิร์ฟเวอร์ยังต้องมีตัวรับฟังที่ได้รับอนุมัติ ข้อมูลระบุตัวตน เส้นทาง การส่งต่อเมื่อจำเป็น นโยบายไฟร์วอลล์ที่แคบ และเส้นทางกลับที่ตั้งใจไว้ จดบันทึกว่าล็อกปรากฏที่ใดและการอัปเดตนำไปใช้อย่างไร เพราะสองคำตอบนั้นกำหนดว่าความล้มเหลวจะถูกวินิจฉัยอย่างไรในภายหลัง

การออกแบบทางออกอินเทอร์เน็ตและการออกแบบการเข้าถึงเครือข่ายส่วนตัวมีความต้องการการส่งต่อที่ต่างกัน ดังนั้นตัดสินว่าคุณกำลังสร้างแบบใดก่อนเปิดอะไรก็ตาม ยกไคลเอนต์ที่ได้รับอนุมัติหนึ่งตัวและตรวจสอบทรัพยากรที่ตั้งใจไว้แทนตัวชี้วัดอุโมงค์ จากนั้นรีสตาร์ตบริการอย่างควบคุมและยืนยันเส้นทางการเริ่มต้นแบบไม่มีคนเฝ้า เพราะเกตเวย์ที่ขึ้นเฉพาะตอนมีคนดูยังไม่ถือว่าติดตั้งแล้ว