Aling mga papel ng software ang kailangan ng headless na OpenVPN gateway

Ang makinang nakalaan sa isang OpenVPN gateway ay nangangailangan ng sinusuportahang pag-install ng server at ng software para sa mga gawaing aktwal nitong ginagawa. Ang menu ng installer na nag-aalok ng SSH, web hosting at iba pang papel ng server ay hindi listahan ng mga paunang kailangan ng OpenVPN. Ang deployment na walang screen ay lubos na makatwiran. Ang mahalaga ay ihiwalay ang tatlong gawain: pagdala ng tunnel, pangangasiwa sa host at pag-isyu ng mga kredensyal.

Ito ang pagkakasunod-sunod ng imbentaryo na ginagamit ko, kasama ang pagsusuring nagtatapos sa bawat hakbang.

1. Bigyan ang serbisyo ng tunnel ng sarili nitong pakete at profile

Ang gabay ng OpenVPN server ng Ubuntu ay gumagamit ng paketeng openvpn ng distribusyon na may command line at configuration ng serbisyo. Ang parehong pakete ay nagsisilbing kliyente ng Linux, at ang configuration ang pumipili ng papel.

Ibig sabihin, ang pag-install ng GUI ng kliyente ay hindi ang gumagawa sa host na maging server, at ang pag-alis nito ay hindi ang gumagawa nitong walang screen. Itala kung aling profile ang binabasa ng tumatakbong instance, dahil ang pangalawang configuration file sa parehong direktoryo ay maaaring ma-load nang walang nakakapansin, at ang daemon ay nag-uulat ng tagumpay sa alinmang kaso. Kapag may dalawang profile, ang service manager ang nagpapasya kung alin ang mananalo, at ang desisyong iyon ay sa mga tala mo at hindi sa haka-haka.

2. Magpasya sa daan ng administrasyon bago ang tunnel

Ang OpenSSH ay nagmumula sa hiwalay na paketeng openssh-server at tumatakbo bilang sariling serbisyo. Kapaki-pakinabang ito kapag kailangang maabot ng administrador ang makina sa pamamagitan ng SSH, ngunit OpenVPN ay hindi nangangailangan ng SSH server upang makipagpalitan ng mga pakete ng VPN. Ang lokal na console o isang aprubadong channel ng pamamahala ng platform ay isa pang wastong daan. Magpasya kung alin ang pinagkakatiwalaan mo bago mo baguhin ang routing o filtering, dahil ang bagong tunnel ay hindi dapat maging ang tanging hindi pa nasubukang paraan upang ayusin ang sarili nito.

3. Mag-isyu ng kredensyal mula sa aprubadong may-ari

Ang halimbawa ng Ubuntu ay nag-install ng easy-rsa kasama ng OpenVPN upang bumuo ng maliit na PKI, na isang papel ng pag-isyu ng kredensyal at hindi isang tumatakbong serbisyo ng tunnel. Kung mayroon nang aprubadong proseso ng pag-isyu ang organisasyon, gamitin iyon sa halip na lumikha ng walang kaugnayang CA dahil may isa ang tutorial. Panatilihing hiwalay ang sariling pribadong susi at sertipiko ng gateway mula sa susi ng pagpirma ng CA, at sadyang piliin ang lokasyon ng pagpirma at backup. Ang pagkopya ng bawat file ng PKI sa bawat host ay hindi kinakailangan ng software.

4. Iwanan ang mga plugin ng desktop sa mga desktop

Ang editor ng NetworkManager o plugin ng pag-import ay may layunin sa makinang gumagamit ng workflow na iyon. Hindi ito karagdagang tampok ng server na kailangan dahil nagsasalita ng OpenVPN ang gateway.

Pumili ng isang may-ari para sa koneksyon, at huwag magsimula ng pangalawang kopya ng parehong profile na pinamamahalaan mula sa desktop.

5. Tanggapin ang gateway gamit ang tunay na kliyente

Ang mas kaunting pakete ay hindi isang tapos na gateway. Ang server ay nangangailangan pa rin ng aprubadong listener, mga pagkakakilanlan, mga ruta, pagpapasa kung kinakailangan, makitid na patakaran ng firewall at ang nilalayong daan ng pagbabalik. Isulat kung saan lumilitaw ang mga log nito at kung paano inilalapat ang mga update, dahil ang dalawang sagot na iyon ang nagpapasya kung paano masusuri ang isang pagpalya sa hinaharap.

Ang disenyo ng labasan sa internet at ang disenyo ng pag-access sa pribadong network ay may magkaibang kinakailangan sa pagpapasa, kaya magpasya kung alin ang itinatayo mo bago magbukas ng anuman. Ilunsad ang isang aprubadong kliyente at suriin ang nilalayong mapagkukunan sa halip na ang indicator ng tunnel. Pagkatapos ay i-restart ang serbisyo sa kontroladong paraan at kumpirmahin ang daan ng pagsisimula nang walang nagmamasid, dahil ang gateway na tumatayo lamang habang may nanonood ay hindi pa naka-deploy.