Hook ng kliyente o hook ng server? Saan tumatakbo ang isang script ng OpenVPN

Malinaw ang gawain: kapag kumonekta ang laptop, may dapat magbago sa laptop. Ang pagsasaayos na ine-edit ay pag-aari ng server, at doon nababasag ang palagay. Ang landas sa file ng server ay tumutukoy sa file sa server na iyon, at walang dami ng push ang makakabago kung aling proseso ang nagpapatakbo nito. Ang pagpili sa pagitan ng dalawang hook ay higit sa lahat pagpapasya kung aling makina ang may-ari ng trabaho, at pagtanggap sa mga limitasyong kasunod nito.

Dalawang makina, dalawang tanong na sasagutin muna

Itanong kung saan dapat mangyari ang pagbabago ng estado, pagkatapos itanong kung aling kaganapan ang tumutugma rito. Kung ang pagbabago ay awtorisasyon bawat gumagamit o desisyon sa pagsasaayos bawat kliyente, kabilang ito sa lugar kung saan kilala ang direktoryo ng gumagamit: ang server. Kung ang pagbabago ay isang ruta, isang setting ng resolver o isang lokal na katulong sa isang dulo, kabilang ito sa dulo, at tanging ang dulo ang makakagawa nito.

Ang pagsagot sa dalawang tanong na iyon sa baliktad na pagkakasunod-sunod ang paraan ng pagtatapos ng mga tao sa pagtatangkang itulak ang isang batch file sa isang laptop na Windows. Alam ng server kung sino ang kumonekta; alam ng laptop kung ano ang hitsura ng sarili nitong stack ng network. Wala sa kanila ang impormasyon ng isa, at ang pagtatangka ay karaniwang nabibigo nang tahimik sa halip na may malinaw na error.

Bago ang dalawa, sulit itanong ang ikatlong tanong: iniaalok ba ng platform ang hook na gusto mo? Ang isang appliance na gumagawa ng sarili nitong pagsasaayos ay maaaring hindi mag-alok ng parehong mga pangalan ng kaganapan, at ang isang desktop client na nag-aangkat ng .ovpn file ay hindi dapat na parehong client kung saan isinulat ang file. Ang pagkumpirma ng platform muna ay nagliligtas sa iyo mula sa pagdidisenyo sa paligid ng hook na wala doon. Sinasabi rin nito kung aling dokumentasyon ang talagang naaangkop sa makinang nasa harap mo.

Ang opsyon sa panig ng server: isang kaganapan bawat koneksyon

Ang isang client-connect script ay tumatakbo sa konteksto ng proseso ng server kapag kumonekta ang isang awtentikadong kliyente, at tumatanggap ito ng mga dokumentadong detalye ng koneksyon tulad ng common name at ang itinalagang address. Ito ang tamang lugar upang magsulat ng tipak ng pagsasaayos bawat kliyente, ipatupad ang desisyon sa patakaran, o itala ang estadong pag-aari ng server.

Ang pagkakaibang nalalampasan ng mga tao ay ang pagkakaiba ng hook na iyon at ng isang up hook ng server. Ang up hook ay pumapaltok kapag binuksan ng server ang device ng tunnel nito, na sa isang server na may maraming kliyente ay nangyayari nang isang beses sa pagsisimula ng daemon. Hindi ito kaganapan bawat pag-login, at ang code na inilagay doon ay tumatakbo kapag nagsimula ang serbisyo sa halip na kapag kumonekta ang mga gumagamit.

Sa isang appliance na may web interface, gamitin ang sinusuportahang mekanismo ng extension sa halip na i-edit ang mga nabuong daemon file. Ang mga nabuong file ay muling isinusulat sa susunod na pag-save, at tahimik na tinatanggal ng muling pagsulat ang iyong pagbabago sa pinakamasamang sandali. Panatilihin ang kopya ng teksto ng extension sa labas ng appliance upang hindi rin mawala ng firmware update ang layunin.

Ang opsyon sa panig ng kliyente: trabahong dapat tumakbo nang lokal

Maaaring magpatakbo ang isang community client ng lokal na script kapag bumangon ang device ng tunnel at muli kapag na-install ang mga ruta. Dalawang magkaibang sandali iyon, at ang pagpili ng mali ay lumilikha ng klasikong karera kung saan nagsisimula ang isang katulong bago pa umiiral ang rutang nakasalalay dito.

Ang katulong ay dapat umiiral sa client na iyon, mabasa at mapatakbo ng account na nagpapatakbo ng client, at pinapayagan ng isang tahasang script-security setting. Ang isang script na gumagana kapag inilunsad mo ang client bilang administrator ay walang sinasabi tungkol sa isang serbisyo bago ang pag-login o sa session ng ibang gumagamit.

Mahalaga rin ang pagpapangalan. Ang up hook ay tumutugma sa paglikha ng device at ang route-up sa pag-install ng mga ruta, ngunit ang isang gawaing nangangailangan ng maabot na pribadong network ay dapat i-verify ang maabot, sa halip na ipalagay na ang paglikha ng device ay nangangahulugang handa na ang bawat ruta, entry ng resolver at application.

Bakit hindi kabilang sa mga opsyon ang pag-push ng naipapatupad na code

Ang mga opsyon na ipinupush ay sadyang nililimitahan, at ang mga opsyon na nagpapatakbo ng script ay kabilang sa mga kategoryang hindi pinapayagang ibaba ng server. Umiiral ang paghihigpit na iyon dahil papayagan ng alternatibo ang isang server na nakompromiso o maling na-configure na magpatakbo ng di-makatwirang utos sa bawat client na kailanman kumonekta.

Ang pagpapagana ng pagpapatakbo ng script nang lokal ay hindi nagbabago niyan. Pinapayagan ng iyong script-security setting ang mga lokal na script na pinili mo; hindi nito binibigyan ng awtoridad ang server na magbigay ng bago.

Kung ang layunin ay simpleng mag-install ng mga ruta ng VPN, gamitin ang sinusuportahang pagsasaayos ng ruta sa halip na mag-imbento ng iskema ng malayuang pagpapatupad. Kung ang layunin ay tunay na nangangailangan ng lokal na code, ipamahagi ito sa pamamagitan ng mga tool sa pamamahala ng dulo ng organisasyon at suriin ito tulad ng anumang iba pang software na tumatakbo gamit ang mga pribilehiyo ng gumagamit.

Ano ang i-verify bago magtiwala sa alinman sa dalawang hook

Isulat ang apat na bagay para sa bawat hook: ang makina, ang pangalan ng kaganapan, ang account na pinapatakbo nito, at ang pagbabago ng estado na dapat nitong gawin. Pagkatapos ay subukan ang koneksyon, isang muling pagkonekta at ang landas ng paglilinis, dahil ang isang hook na naglalabas ng estado sa muling pagkonekta ay mas masama kaysa sa isang hindi kailanman tumakbo.

Subukan sa ilalim ng account na talagang magpapatakbo nito, sa sandaling talagang ipapatupad ito. Ang manwal ng openvpn(8) ay nagdodokumento ng parehong pamilya ng hook at ng mga paghihigpit ng push; ang platform na iyong deploy-an ay nagdodokumento kung inilalantad ba nito ang mga ito. Ang isang script na nagtatagumpay sa isang interactive na terminal ng administrator ay isang haka-haka, hindi isang pag-verify.