3. Codzienna obsługa

Profile (Profile VPN w menu)

• Utwórz profil dla każdego urządzenia, nadaj mu czytelną nazwę (jan-laptop) i rolę. Pobierz plik .ovpn raz i przekaż go właścicielowi bezpiecznym kanałem.
• Zmień rolę przenosi urządzenie do innej roli; jego adres się zmienia, a ono łączy się ponownie.
• Unieważnij trwale odcina urządzenie (zgubiony telefon, były współpracownik). Nie można tego cofnąć; żeby wpuścić osobę z powrotem, utwórz nowy profil. Aby potwierdzić, musisz wpisać nazwę profilu.
• Dziennik operacji zapisuje, kto, co i kiedy zrobił.

Role i reguły dostępu (Role w menu)

Rola to lista rzeczy, do których jej urządzenia mają dostęp, na przykład „10.0.0.0/24, TCP 443 i 8080” albo „wszystko w 192.168.1.0/24”. Kreator tworzy dwie role: administrator (wszystko w wybranych sieciach) i użytkownik (usługi WWW i ping); możesz dodać własne i dla każdej ustawić:

• dozwolone cele (sieć lub pojedynczy adres), protokół i porty;
• opcjonalnie dostęp do internetu przez serwer;
• opcjonalnie uprzywilejowanie: profile w takiej roli mogą wystawiać tylko osoby uprawnione do obsługi profili administratora.

Strona pokazuje prostymi słowami, do czego rola ma dostęp, zanim zastosujesz zmiany. Urządzenia nie widzą się nawzajem i nie mogą otworzyć samego serwera, niezależnie od ról.

Stosowanie zmian

Zmiany ról, reguł i ustawień serwera są zapisane, ale nie działają, dopóki nie naciśniesz Zastosuj na pasku u góry strony. Po zastosowaniu potwierdź w podanym czasie, bo inaczej serwer cofnie zmianę. Dzięki temu pomyłka nie odetnie Ci dostępu.

Serwer (Serwer VPN w menu)

• Usługa VPN: uruchom, restartuj, zatrzymaj. Restart na chwilę rozłącza wszystkich (łączą się ponownie sami).
• Jak łączą się urządzenia: adres, port, protokół, zakres adresów VPN, czy serwer tłumaczy adresy (NAT) na potrzeby dostępu do internetu.
• Serwer DNS: opcjonalny wbudowany resolver dla urządzeń VPN. Możesz blokować niechciane domeny (po jednej w wierszu; domena i wszystko pod nią) i dodawać własne nazwy (nas.lan 192.168.1.5). Bez niego urządzenia używają publicznych serwerów DNS, które wskażesz.
• Kto może otwierać ten interfejs WWW: zobacz rozdział 6.

Pulpit

Administratorzy zarządzający serwerem widzą na Pulpicie:

• Stan serwera: usługę VPN, zaporę, serwer DNS (jeśli włączony), ile dni zostało do końca ważności certyfikatów i listy unieważnionych profili oraz wolne miejsce na dysku. Ostrzeżenie pojawia się 60 dni przed wygaśnięciem czegokolwiek.
• Połączeni teraz: każde urządzenie z jego adresem, od jak dawna jest połączone i ile przesłało, z przyciskiem Rozłącz (urządzenie może połączyć się ponownie; żeby zatrzymać je na stałe, unieważnij profil).

Konta (Konta w menu)

Utwórz kolejnych administratorów i nadaj każdemu tylko potrzebne uprawnienia: przeglądanie profili, tworzenie, unieważnianie, zmiana roli, pobieranie, czytanie dziennika, zarządzanie serwerem, zarządzanie użytkownikami.

Uwierzytelnianie dwuskładnikowe (Bezpieczeństwo w menu użytkownika)

Uwierzytelnianie dwuskładnikowe dodaje do logowania kod z aplikacji w telefonie, więc skradzione lub odgadnięte hasło nie wystarcza, żeby wejść do panelu. Jest proponowane każdemu przy pierwszym logowaniu i gorąco polecane, ale każdy decyduje sam. Dopóki go nie włączysz, u góry stron zostaje przypomnienie. Na stronie Bezpieczeństwo możesz je włączyć lub wyłączyć, pokazać lub odnowić kody odzyskiwania i zmienić hasło.

Osoba, która zarządza uprawnieniami, może je wymagać od wszystkich kont (Bezpieczeństwo → Uwierzytelnianie dwuskładnikowe dla wszystkich). Konta bez niego mogą wtedy otworzyć tylko stronę Bezpieczeństwo, dopóki go nie skonfigurują. Najpierw upewnij się, że Twoje konto je ma; strona nie pozwoli Ci odciąć sobie dostępu.

Z konsoli

Większość stron ma konsolowy odpowiednik na potrzeby skryptów: tunnelry:access (role i reguły), tunnelry:dns, tunnelry:apply, tunnelry:gui-access, tunnelry:update. Uruchamiaj je jako użytkownik aplikacji, na przykład:

sudo -u tunnelry php /opt/tunnelry/current/artisan tunnelry:access list

Dalej: aktualizacje.