OpenVPN yönetim soketi: bir denetim kanalı, metrikler değil

Yönetim arayüzüne bir kez durum sorun, bir durum portu gibi görünmeye başlar. Ama değildir. Bir istemci kabul edildiğinde protokolün denetim komutlarını verebilir ve o istemciyi çalıştıran hesap, bu komutların daemon'a yapabileceği her şeyi devralır. Onu salt okunur bir akış olarak görmek, bir izleme entegrasyonunu kimlik doğrulaması olmayan bir konsola çeviren hatadır.

İnanç ve maliyeti

İnanç, yönetim dinleyicisinin bir metrik uç noktasına eşdeğer olduğudur: bir toplayıcı bağlayın, sayaçları okuyun, devam edin. Gerçekte olan, toplayıcının denetim yeteneklerine sahip bir oturum açmasıdır ve dağıtım hakkında yaptığınız diğer her varsayım artık o toplayıcının iyi davranmasına bağlıdır.

Arayüzde hiçbir şey salt okunur bir mod duyurmaz. Seçilecek bir gözlemci rolü yoktur ve yapılandırmadaki bir kullanıcı adı bir tane oluşturmaz.

Kabul edilen bir istemcinin gerçekte tuttuğu şey

Topluluk daemon'u aynı anda yalnızca bir etkin yönetim istemcisini kabul eder. Bu tek yuva, bir GUI, bir betik ve bir izleme aracısının hepsinin bağlanamayacağı anlamına gelir; ikincisi birincisi oturumu tutarken bekler veya başarısız olur. Tasarımınız eşzamanlı okuyucular varsayıyorsa, zaten yanlıştır.

Periyodik bir anlık görüntünün yeterli olduğu yerde, durum dosyası çıktısı canlı bir oturum olmadan aynı sayıları verir. Bu dosyayı aralıklarla yazmak ve sıradan dosya izinleriyle okumak toplayıcıyı denetim düzleminin tamamen dışında tutar ve çoğu izleme çözümünün gerçekten ihtiyaç duyduğu düzen budur.

Kendi soketi, açık olan değil

Bir Unix alan soketi denetim yolunu ağın dışında tutar, bu da değişen tünel adresini sorundan çıkarır. İzin sorununu ortadan kaldırmaz. Üst dizin hizmet hesabı tarafından yazılabilir ve denetleyicinin hesabı tarafından erişilebilir olmalıdır ve bunlar iki ayrı izindir:

management /run/openvpn/office-management.sock unix /etc/openvpn/management.password
management-client-user vpn-observer
management-client-group vpn-observer

Parola dosyası yönetim sırrını ilk satırında taşır. O dosyayı herhangi bir kimlik bilgisi gibi koruyun ve içeriğini günlüklerden ve destek taleplerinden uzak tutun. Kullanıcı ve grup kısıtlamaları Unix soketindeki eş denetimleridir, dosya sistemi izinleri değildir, bu yüzden amaçlanan sürecin hem dosya erişimine hem de eşleşen kimliğe ihtiyacı vardır.

Bir izin hatasını gidermek için soketi dünyaya açmak kaçınılması gereken tek düzeltmedir. Yerel bir denetim kanalını, ana makinedeki herhangi bir sürecin yönlendirebileceği bir şeye dönüştürür.

TCP üzerinden yayınlamak aynı tasarım değildir

Dinleyiciyi bir TCP bağlantı noktasına taşımak onu daha güvenli veya daha kullanışlı yapmaz. Yönetim parolası açık metin olarak gönderilir, bu yüzden bir TCP dinleyicisi hem kimlik bilgisini hem de oturumu yolu gözlemleyebilen herkese açık hale getirir. Ona başka bir ana makineden erişmek yetkili bir yönetim kanalı veya yalnızca ihtiyacınız olan gözlemleri açığa çıkaran küçük bir yerel aracı gerektirir.

Açık metin taşıma üzerindeki bir parola, gizlilik olmadan kimlik doğrulamadır ve bu kombinasyon korunmuş gibi hissettirdiği için göründüğünden daha kötüdür.

İstemediğiniz başlangıç bağımlılıkları

Birkaç yönetim seçeneği daemon'un yaşam döngüsünü değiştirir. Başlatmayı bir denetleyici bağlanana kadar tutmak veya denetleyici kaybolduğunda sonlandırmak, isteğe bağlı bir gözlemciyi katı bir bağımlılığa dönüştürür. Çöken bir izleme aracısı o zaman tüneli de beraberinde düşürür.

Soketin kendisinin ötesinde bir şeyi etkinleştirmeden önce bu seçenekleri gözden geçirin. İsteğe bağlı gözlem isteğe bağlı kalmalı ve yeniden başlatma ilkesi grafikler için eklenen bir toplayıcıya bağlanmamalıdır.

Başarısız bir süreçten sonra kalan soket dosyası, bir dinleyicinin var olduğunun kanıtı değildir. Kaldırmadan önce hangi örneğin yola sahip olduğunu belirleyin ve çalışan bir daemon altındaki dosyaları silmek yerine hizmetin kendi kurtarma akışını kullanın.

Kabul nasıl görünür

Dört denetim tasarımı kapsar: amaçlanan denetleyici kimliği bağlanır, bu kimliğe sahip olmayan bir süreç reddedilir, daemon uyarı vermeden bağlantıyı kesen bir denetleyiciden sağ çıkar ve tünel denetimli bir yeniden başlatma boyunca trafiği taşımaya devam eder. Başarılı bir yönetim bağlantısı yalnızca denetim düzlemini kanıtlar. Özel uygulama trafiğinin çalışıp çalışmadığı hakkında hiçbir şey söylemez, bu yüzden bunu ayrıca test edin. Dört sonucu bir sonraki operatörün bulabileceği bir yere yazın.

Yönetim arayüzü belgeleri tek istemci modelini ve protokolün ayrıcalıklı doğasını açıklar ve bir kontrol panelini ona yöneltmeden önce okumaya değer kısım budur.