# 3. Codzienna obsługa

## Profile (**Profile VPN** w menu)

- **Utwórz** profil dla każdego urządzenia, nadaj mu czytelną nazwę (`jan-laptop`) i rolę. Pobierz plik `.ovpn` raz i
  przekaż go właścicielowi bezpiecznym kanałem.
- **Zmień rolę** przenosi urządzenie do innej roli; jego adres się zmienia, a ono łączy się ponownie.
- **Unieważnij** trwale odcina urządzenie (zgubiony telefon, były współpracownik). Nie można tego cofnąć; żeby
  wpuścić osobę z powrotem, utwórz nowy profil. Aby potwierdzić, musisz wpisać nazwę profilu.
- **Dziennik operacji** zapisuje, kto, co i kiedy zrobił.

![Profile VPN](https://tunnelry.com/img/pl/profiles.png)

## Role i reguły dostępu (**Role** w menu)

Rola to lista rzeczy, do których jej urządzenia mają dostęp, na przykład *„10.0.0.0/24, TCP 443 i 8080”* albo
*„wszystko w 192.168.1.0/24”*. Kreator tworzy dwie role: **administrator** (wszystko w wybranych sieciach) i
**użytkownik** (usługi WWW i ping); możesz dodać własne i dla każdej ustawić:

- dozwolone cele (sieć lub pojedynczy adres), protokół i porty;
- opcjonalnie **dostęp do internetu** przez serwer;
- opcjonalnie **uprzywilejowanie**: profile w takiej roli mogą wystawiać tylko osoby uprawnione do obsługi profili
  administratora.

Strona pokazuje prostymi słowami, do czego rola ma dostęp, zanim zastosujesz zmiany. Urządzenia nie widzą się nawzajem
i nie mogą otworzyć samego serwera, niezależnie od ról.

![Rola: jej reguły, formularz dodawania reguły i podsumowanie prostymi słowami](https://tunnelry.com/img/pl/roles.png)

## Stosowanie zmian

Zmiany ról, reguł i ustawień serwera są **zapisane, ale nie działają**, dopóki nie naciśniesz **Zastosuj** na pasku u
góry strony. Po zastosowaniu potwierdź w podanym czasie, bo inaczej serwer cofnie zmianę. Dzięki temu pomyłka nie
odetnie Ci dostępu.

## Serwer (**Serwer VPN** w menu)

- **Usługa VPN:** uruchom, restartuj, zatrzymaj. Restart na chwilę rozłącza wszystkich (łączą się ponownie sami).
- **Jak łączą się urządzenia:** adres, port, protokół, zakres adresów VPN, czy serwer tłumaczy adresy (NAT) na potrzeby
  dostępu do internetu.
- **Serwer DNS:** opcjonalny wbudowany resolver dla urządzeń VPN. Możesz blokować niechciane domeny (po jednej w
  wierszu; domena i wszystko pod nią) i dodawać własne nazwy (`nas.lan 192.168.1.5`). Bez niego urządzenia używają
  publicznych serwerów DNS, które wskażesz.
- **Kto może otwierać ten interfejs WWW:** zobacz [rozdział 6](https://tunnelry.com/pl/docs/access-and-recovery/index.md).

![Ustawienia serwera VPN](https://tunnelry.com/img/pl/server.png)

## Pulpit

Administratorzy zarządzający serwerem widzą na Pulpicie:

- **Stan serwera:** usługę VPN, zaporę, serwer DNS (jeśli włączony), ile dni zostało do końca ważności certyfikatów i
  listy unieważnionych profili oraz wolne miejsce na dysku. Ostrzeżenie pojawia się 60 dni przed wygaśnięciem
  czegokolwiek.
- **Połączeni teraz:** każde urządzenie z jego adresem, od jak dawna jest połączone i ile przesłało, z przyciskiem
  **Rozłącz** (urządzenie może połączyć się ponownie; żeby zatrzymać je na stałe, unieważnij profil).

## Konta (**Konta** w menu)

Utwórz kolejnych administratorów i nadaj każdemu tylko potrzebne uprawnienia: przeglądanie profili, tworzenie,
unieważnianie, zmiana roli, pobieranie, czytanie dziennika, zarządzanie serwerem, zarządzanie użytkownikami.

![Konta](https://tunnelry.com/img/pl/accounts.png)

## Uwierzytelnianie dwuskładnikowe (**Bezpieczeństwo** w menu użytkownika)

Uwierzytelnianie dwuskładnikowe dodaje do logowania kod z aplikacji w telefonie, więc skradzione lub odgadnięte hasło
nie wystarcza, żeby wejść do panelu. Jest proponowane każdemu przy pierwszym logowaniu i **gorąco polecane**, ale
każdy decyduje sam. Dopóki go nie włączysz, u góry stron zostaje przypomnienie. Na stronie **Bezpieczeństwo** możesz je
włączyć lub wyłączyć, pokazać lub odnowić kody odzyskiwania i zmienić hasło.

Osoba, która zarządza uprawnieniami, może je **wymagać** od wszystkich kont (**Bezpieczeństwo → Uwierzytelnianie
dwuskładnikowe dla wszystkich**). Konta bez niego mogą wtedy otworzyć tylko stronę Bezpieczeństwo, dopóki go nie
skonfigurują. Najpierw upewnij się, że Twoje konto je ma; strona nie pozwoli Ci odciąć sobie dostępu.

## Z konsoli

Większość stron ma konsolowy odpowiednik na potrzeby skryptów: `tunnelry:access` (role i reguły), `tunnelry:dns`,
`tunnelry:apply`, `tunnelry:gui-access`, `tunnelry:update`. Uruchamiaj je jako użytkownik aplikacji, na przykład:

```bash
sudo -u tunnelry php /opt/tunnelry/current/artisan tunnelry:access list
```

Dalej: [aktualizacje](https://tunnelry.com/pl/docs/updating/index.md).