OpenVPN na walang interface: binabantayang sesyon o pinamamahalang serbisyo
Ang pagpapatakbo ng OpenVPN sa SSH ay pagbabago sa malayong network. Pumili ng binabantayang sesyon o sariling serbisyo, at ihanda ang mga kredensyal at daan pabalik.
Ang pagpapatakbo ng OpenVPN sa SSH ay nagpapatakbo nito sa malayong makina, sa execution context ng makinang iyon. Ginagawa nitong pagbabago sa malayong network iyon, hindi lamang pagpindot ng buton mula sa malayo. Dalawang makatuwirang mode ang binabantayang foreground session at sariling serbisyo, at magkaiba ang paghahanda, kredensyal at pag-uugali sa pagkabigo nila.
Dalawang mode, isang profile
Ginagamit ng dalawang mode ang parehong profile at parehong binabago ang routing sa host. Ang kaibahan ay kung sino ang naroroon kapag nagsimula ito, at ano ang nangyayari pagkatapos ng sesyon.
| Mode | Useful for | What it needs |
|---|---|---|
| Supervised foreground session | A connection with a human watching and able to type | A usable terminal, a reviewed profile and recovery access |
| Managed service | An unattended lifecycle that starts without a login | Owned configuration, supported credential delivery and restart policy |
Ang foreground mode ay para sa binabantayang koneksyon kung saan may taong naroroon. Ang service mode ay para sa koneksyong dapat bumangon nang walang nakalogin. Ang paghahalo ng dalawa, sa pamamagitan ng pagpapabaya sa isang foreground process na tumatakbo habang pinagana rin ang serbisyo sa parehong profile, ang pinakakaraniwang sariling dulot na pagkasira dito.
Ano talaga ang foreground session
Ang foreground OpenVPN process ay dapat patuloy na tumakbo habang nakaupo ang tunnel. Initialization Sequence Completed ay nangangahulugang tapos na ang initialization, hindi na dapat maghintay sa pagbabalik ng prompt. Itinatago ng desktop GUI ang mahabang gawaing iyon sa likod ng bintana, at iyon ang dahilan kung bakit inaasahan ng mga tao na ganoon din ang gagawin ng SSH command. Hindi ganoon ang ginagawa nito.
Suriin nang hiwalay ang access ng application. Ang okupadong terminal at isang log line ay hindi nagpapatunay ng tagumpay o kabiguan.
Ano ang kailangan ng serbisyong walang pagbabantay
Nagsisimula ang serbisyo sa sarili nitong account, working directory at mga paghihigpit sa filesystem, at lahat ng iyon ay naiiba sa shell mo. Gumamit ng tahasang path at angkop na pagmamay-ari sa halip na umasa sa kung saan ka nagkataong nakatayo. Bigyan ang unit ng restart policy na talagang gusto mo, dahil pinupuno ng connect loop na walang backoff ang isang log at inisin ang kabilang dulo. Pagkatapos, i-verify na bumangon ito pagkatapos ng reboot at hindi pagkatapos ng susunod mong login.
Sinisira ng interactive MFA ang kaso ng walang pagbabantay ayon sa disenyo. Kung ang profile ay nangangailangan ng code na tai-type ng isang tao, hindi ito serbisyong walang pagbabantay, at ang nakaimbak na one-time code ay hindi disenyo ng kredensyal. Magpasya nang sadya tungkol dito sa halip na matuklasan ito sa boot.
Ang mga kredensyal ay apat na magkakaibang input
Ang manwal ng OpenVPN ay naghihiwalay ng console input, credential files, passphrase ng private key at interaksyong pinapatakbo ng management. Ang pares ng username at password ay isang bagay, at ang passphrase ng naka-encrypt na key ay iba. Ang management interface na nagbibigay ng kredensyal kapag hiniling ay ang pangatlo. Piliin ang mekanismong tugma sa iyong disenyo ng authentication sa halip na pagdugtungin ang lahat sa isang file dahil nagkataong gumana ito minsan.
Protektahan ang mga profile at log na nagdadala ng pagkakakilanlan o pribadong materyal. Binabasa ang mga ito ng service account, at gayundin ng sinumang may tamang membership sa grupo.
Isang may-ari, at isang daan pabalik
Panatilihin ang iyong SSH administration path bago paganahin ang malawak na tunnel route. Ang full-tunnel configuration na may endpoint na namamatay ay maaaring iwanang hindi maabot ang makina, at ang pag-aayos ay mangangailangan ng console na hindi mo inihanda. Ang aprubadong out-of-band console o sadyang patakaran ng pagbabalik ng management ang insurance.
Pumili ng isang may-ari ng configuration para sa rutinang operasyon. Ang awtomatikong serbisyo at foreground process na nagtatagisan para sa parehong interface, ruta at estado ng resolver ay gumagawa ng mga kabiguang mukhang problema ng provider. Itigil ang binabantayang pagtakbo sa normal nitong interrupt, at ang pinamamahalaan sa pamamagitan ng manager nito sa halip na patayin ang bawat prosesong pinangalanang openvpn.
Ang pagkakaibang dapat isulat ay simple: ang binabantayang pagtakbo ay maaaring umasa sa iyong sesyon, at ang serbisyong walang pagbabantay ay hindi maaaring.