Cổng OpenVPN không màn hình cần những vai trò phần mềm nào

Một máy dành riêng cho cổng OpenVPN cần bản cài máy chủ được hỗ trợ và phần mềm cho những việc nó thực sự làm. Menu trình cài đặt có SSH, lưu trữ web và các vai trò máy chủ khác không phải là danh sách điều kiện tiên quyết của OpenVPN. Triển khai không màn hình là hoàn toàn hợp lý. Điều quan trọng là tách ba việc: mang đường hầm, quản trị máy chủ và phát hành thông tin xác thực.

Đây là thứ tự kiểm kê tôi dùng, cùng bước kiểm tra khép lại từng bước.

1. Cho dịch vụ đường hầm gói và hồ sơ riêng

Hướng dẫn máy chủ OpenVPN của Ubuntu dùng gói openvpn của bản phân phối với dòng lệnh và cấu hình dịch vụ. Cùng gói đó cũng dùng làm máy khách Linux, và cấu hình chọn vai trò.

Điều đó có nghĩa là cài GUI máy khách không phải là việc biến máy chủ thành máy chủ, và gỡ nó cũng không phải là việc làm nó không màn hình. Ghi lại hồ sơ nào mà tiến trình đang chạy đọc, vì một tệp cấu hình thứ hai trong cùng thư mục có thể được nạp mà không ai nhận ra, và daemon báo thành công trong cả hai trường hợp. Khi có hai hồ sơ, trình quản lý dịch vụ quyết định cái nào thắng, và quyết định đó thuộc về ghi chú của bạn chứ không phải phỏng đoán.

2. Quyết định đường quản trị trước đường hầm

OpenSSH đến từ một gói openssh-server riêng và chạy như dịch vụ của chính nó. Nó hữu ích khi quản trị viên cần tới máy qua SSH, nhưng OpenVPN không cần máy chủ SSH để trao đổi gói VPN. Một bảng điều khiển cục bộ hoặc một kênh quản lý nền tảng đã được phê duyệt là một đường hợp lệ khác. Hãy quyết định bạn dựa vào đường nào trước khi thay đổi định tuyến hoặc lọc, vì đường hầm mới không bao giờ nên là cách duy nhất chưa được kiểm chứng để tự sửa mình.

3. Phát hành thông tin xác thực từ chủ sở hữu đã được phê duyệt

Ví dụ của Ubuntu cài easy-rsa bên cạnh OpenVPN để dựng một PKI nhỏ, đó là vai trò phát hành thông tin xác thực chứ không phải dịch vụ đường hầm đang chạy. Nếu tổ chức đã có quy trình phát hành được phê duyệt, hãy dùng quy trình đó thay vì tạo một CA không liên quan chỉ vì hướng dẫn có một cái. Giữ khóa riêng và chứng chỉ của cổng tách khỏi khóa ký của CA, và chọn vị trí ký cùng sao lưu một cách có chủ đích. Sao chép mọi tệp PKI lên mọi máy chủ không phải là yêu cầu phần mềm.

4. Để plugin máy tính để bàn cho máy tính để bàn

Một trình soạn NetworkManager hoặc plugin nhập có mục đích trên máy dùng quy trình đó. Nó không phải là tính năng máy chủ thêm vào cần thiết vì cổng nói OpenVPN.

Chọn một chủ sở hữu cho kết nối, và đừng khởi động bản sao thứ hai của cùng hồ sơ do máy tính để bàn quản lý.

5. Chấp nhận cổng bằng một máy khách thật

Ít gói hơn không phải là một cổng hoàn chỉnh. Máy chủ vẫn cần một trình lắng nghe đã được phê duyệt, danh tính, tuyến, chuyển tiếp nơi cần, chính sách tường lửa hẹp và đường quay về dự kiến. Ghi lại nhật ký xuất hiện ở đâu và bản cập nhật được áp dụng thế nào, vì hai câu trả lời đó quyết định cách một sự cố sẽ được chẩn đoán sau này.

Thiết kế thoát ra internet và thiết kế truy cập mạng riêng có yêu cầu chuyển tiếp khác nhau, nên hãy quyết định bạn đang xây cái nào trước khi mở bất cứ thứ gì. Dựng một máy khách đã được phê duyệt và kiểm tra tài nguyên dự kiến thay vì chỉ báo đường hầm. Sau đó khởi động lại dịch vụ một cách có kiểm soát và xác nhận đường khởi động không cần giám sát, vì một cổng chỉ lên khi có người nhìn vẫn chưa được triển khai.