OpenVPN boshqaruv soketi: boshqaruv kanali, metrikalar emas

Boshqaruv interfeysidan bir marta holat so'rang va u holat portiga o'xshab ko'rinadi. Lekin bunday emas. Mijoz qabul qilingandan so'ng u protokolning boshqaruv buyruqlarini bera oladi, va shu mijozni ishga tushiruvchi hisob bu buyruqlar demon bilan qila oladigan hamma narsani meros oladi. Unga faqat o'qish oqimi sifatida qarash — monitorinq integratsiyasini autentifikatsiyasiz konsolga aylantiruvchi xato.

Ishonch va uning narxi

Ishonch shundan iboratki, boshqaruv tinglovchisi metrika oxirgi nuqtasiga teng: kollektorni ulang, hisoblagichlarni o'qing, davom eting. Aslida kollektor boshqaruv imkoniyatlari bo'lgan sessiya ochadi, va joylashtirish haqidagi har qanday boshqa taxminingiz endi shu kollektor o'zini yaxshi tutishiga bog'liq.

Interfeysda hech narsa faqat o'qish rejimini e'lon qilmaydi. Tanlash uchun kuzatuvchi roli yo'q, va konfiguratsiyadagi foydalanuvchi nomi uni yaratmaydi.

Qabul qilingan mijoz aslida nimaga ega

Jamiyat demoni bir vaqtning o'zida faqat bitta faol boshqaruv mijozini qabul qiladi. Bu bitta joy GUI, skript va monitorinq agenti birgalikda ulana olmasligini bildiradi; birinchisi sessiyani ushlab turganda ikkinchisi kutadi yoki muvaffaqiyatsiz bo'ladi. Agar dizayningiz bir vaqtda ko'p o'quvchilarni nazarda tutsa, u allaqachon xato.

Davriy surat yetarli bo'lgan joyda, holat fayli chiqishi jonli sessiyasiz ham xuddi shu raqamlarni beradi. O'sha faylni oraliq bilan yozish va oddiy fayl ruxsatlari bilan o'qish kollektorni boshqaruv tekisligidan butunlay tashqarida tutadi, va aksariyat monitorinqga aynan shu tartib kerak.

O'z soketi, ochiq emas

Unix domen soketi boshqaruv yo'lini tarmoqdan tashqarida tutadi, bu esa o'zgaruvchan tunnel manzilini muammodan olib tashlaydi. Bu ruxsat masalasini olib tashlamaydi. Asosiy katalog xizmat hisobi uchun yoziladigan va kontroller hisobi uchun yetib boriladigan bo'lishi kerak, va bu ikki alohida ruxsat:

management /run/openvpn/office-management.sock unix /etc/openvpn/management.password
management-client-user vpn-observer
management-client-group vpn-observer

Parol fayli boshqaruv sirini birinchi satrida saqlaydi. Bu faylni boshqa har qanday hisob ma'lumotlari kabi himoya qiling, va uning mazmunini jurnallar va qo'llab-quvvatlash chiptalaridan uzoqda tuting. Foydalanuvchi va guruh cheklovlari Unix soketidagi tengdosh tekshiruvlari, fayl tizimi ruxsatlari emas, shuning uchun mo'ljallangan jarayonga ham faylga kirish, ham mos identifikatsiya kerak.

Ruxsat xatosini yo'q qilish uchun soketni butun dunyoga ochish — bu yagona tuzatish, undan qochish kerak. U mahalliy boshqaruv kanalini hostdagi har qanday jarayon boshqara oladigan narsaga aylantiradi.

Uni TCP orqali e'lon qilish — o'sha dizayn emas

Tinglovchini TCP portiga ko'chirish uni xavfsizroq yoki qulayroq qilmaydi. Boshqaruv paroli ochiq matnda yuboriladi, shuning uchun TCP tinglovchisi hisob ma'lumotlarini ham, sessiyani ham yo'lni kuzata oladigan har kimga ochib beradi. Unga boshqa hostdan yetib borish uchun vakolatli administratsiya kanali yoki faqat kerakli kuzatishlarni ochib beradigan kichik mahalliy agent kerak.

Ochiq matnli uzatishdagi parol — maxfiyliksiz autentifikatsiya, va bu birikma ko'ringanidan yomonroq, chunki o'zini himoyalangandek his qiladi.

Siz so'ramagan ishga tushish bog'liqliklari

Bir nechta boshqaruv opsiyasi demonning hayot tsiklini o'zgartiradi. Ishga tushishni kontroller ulanmaguncha ushlab turish yoki kontroller yo'qolganda tugatish — ixtiyoriy kuzatuvchini qattiq bog'liqlikka aylantiradi. Shunda qulab tushgan monitorinq agenti tunnelni ham o'zi bilan birga tushirardi.

Soketdan boshqa narsani yoqishdan oldin o'sha opsiyalarni ko'rib chiqing. Ixtiyoriy kuzatish ixtiyoriy bo'lib qolishi kerak, va qayta ishga tushirish siyosati grafiklar uchun qo'shilgan kollektorga bog'lanmasligi kerak.

Muvaffaqiyatsiz jarayondan keyin qolgan soket fayli tinglovchi borligiga dalil emas. Uni olib tashlashdan oldin qaysi nusxa yo'lga egalik qilishini aniqlang, va ishlab turgan demon ostidagi fayllarni o'chirish o'rniga xizmatning o'z tiklash oqimidan foydalaning.

Qabul qanday ko'rinadi

To'rt tekshiruv dizaynni qamrab oladi: mo'ljallangan kontroller identifikatsiyasi ulanadi, bu identifikatsiyasiz jarayon rad etiladi, demon ogohlantirishsiz uzilgan kontrollerdan omon qoladi, va boshqariladigan qayta ishga tushirish davomida tunnel hali ham trafik tashiydi. Muvaffaqiyatli boshqaruv ulanishi faqat boshqaruv tekisligini isbotlaydi. U xususiy ilovalar trafigi ishlayaptimi-yo'qmi haqida hech narsa demaydi, shuning uchun buni alohida sinab ko'ring. To'rt natijani keyingi operator topa oladigan joyga yozing.

Boshqaruv interfeysi hujjati bitta mijoz modelini va protokolning imtiyozli tabiatini tasvirlaydi, va dashboardni unga qaratishdan oldin o'qishga arziydigan qism — aynan shu.