Beplanning van 'n OpenVPN-onderhoudsvenster sonder om die gasheer te verloor

Om die VPN-diens te herbegin beëindig elke sessie wat dit gebruik, so die venster moet rondom gesprekke gebou word eerder as rondom die pakketbestuurder. Gebruikers het genoeg kennis nodig om sensitiewe werk te voltooi, en jy het 'n weg terug nodig wat nie van die tonnel afhang wat jy op die punt staan om te stop nie. Alles anders in die speelboek bestaan juis om daardie twee feite hanteerbaar te maak. Slaan enige een oor en 'n roetine-opdatering word 'n onderbreking sonder uitweg.

Die volgorde hieronder is doelbewus: elke stadium lewer iets wat die volgende stadium nodig het, en enige stadium kan die verandering beëindig voordat dit begin.

Teken die diens vas soos dit tans bestaan voordat jy dit verander

Lees die geïnstalleerde eenheid eerder as die een wat jy onthou jy geskryf het: systemctl cat [email protected] druk die eenheid en enige byvoegsels uit, en systemctl show [email protected] -p ExecStart -p User -p WorkingDirectory wys wat werklik loop en as wie. Vra die binêre lêer wat daardie eenheid noem, want openvpn --version vanaf 'n skulp kan na 'n ander bou val. Teken die profielpad en elke lêer waarna dit verwys op.

Let ook op die luisterende sokkels: ss -lunp | grep 1194 sê vir jou watter adres en protokol die daemon vandag besit. As die antwoord nie is wat die profiel voorstel nie, dan oorheers 'n byvoegsel of 'n omgewingslêer dit, en die opgradering sal daardie verrassing erf.

Stel 'n herstelstel saam wat iemand anders kan gebruik

Die herstelstel moet om 03:00 deur 'n kollega sonder jou konteks gebruik kan word. Sluit die effektiewe konfigurasie met elke verwysde lêer in, die vertroue- en herroepingsmateriaal onder beheer van die PKI-eienaar, die toewysings en haakpunte per kliënt, en die presiese pakketweergawes wat vandag geïnstalleer is. 'n Afskrif van een lêernaam is nie 'n konfigurasie nie. Berg dit êrens waar die diensoperateur dit sonder die VPN kan bereik.

Toegangsbeheer geld ook vir daardie stel, want dit bevat private sleutels of backend-geloofsbriewe. Moenie die CA herbou of identiteite heruitreik net omdat 'n pakketweergawe verander het nie.

Oefen op 'n proefluisteraar met 'n werklike kliënt

Laat die kandidaatvrystelling op 'n aparte luisteraar loop met sy eie poort- en adresplan, nie langs die produksiegeval op dieselfde sokkel nie. Konnekteer met die kliënt-enjins wat jou gebruikers werklik gebruik, insluitend die ongemaklike een. Gaan adrestoewysing, gestuurde DNS, een toepassing wat saak maak en een pad wat geblokkeer moet bly na. Pasgemaakte haakpunte moet in die diens se werklike voorreg- en lêerstelselkonteks loop, want 'n root-skelp bewys niks daaroor nie.

Lees die vrystellingsnotas vir gedragsveranderinge, nie net vir nuwe funksies nie. Syfer- en TLS-verstekwaardes skuif tussen weergawes, en 'n profiel wat nog ontleed kan steeds 'n handdruk faal. As die opgradering profiel- of sertifikaatveranderinge nodig het, beplan dit as sy eie stap eerder as om dit in die pakketopdatering te bondel.

Skakel een keer oor, vanaf 'n pad buite die tonnel

Begin die venster vanaf 'n konsole of 'n bestuursnetwerk wat nie deur die diens loop nie. Bevestig dat gebruikers ingelig is en dat 'n tweede operateur weet hoe om terug te rol. Pas die voorbereide verandering deur sy eienaar toe, herbegin dan met sudo systemctl restart [email protected] en volg die joernaal met journalctl -u openvpn-server@office -b -f. 'n Herlaai is genoeg wanneer net eenheidsdefinisies verander het; 'n veranderde profiel vereis dat die proses herbegin word.

Verwag dat elke kliënt weer konnekteer, en verwag dat sommige toepassingsessies nie hervat nie. Koördineer 'n skoon pouse met die werkvragte wat dit nie kan verdra nie.

Aanvaar of rol terug, en vertel gebruikers dan wat verander het

Aanvaarding is 'n nuwe aanmelding plus 'n werklike bewerking plus die beperkings wat steeds geld. 'n Aktiewe eenheid en 'n groen statuslyn is prosesfeite. As die kriteria binne die venster faal, rol terug met die voorbereide metode, nie deur een lêer te herstel en te hoop nie; 'n veranderde binêre lêer of diensbeleid oorleef 'n konfigurasieherstel. Bewaar enige herroepings- of magtigingsverandering wat tydens die venster gemaak is, sodat die terugrol nie sekuriteitswerk ongedaan maak nie.

Teken die weergawes, profielveranderinge en aanvaardingsresultate vir die volgende operateur op, trek die proefluisteraar terug en sê vir gebruikers watter profiel hulle nou moet gebruik. 'n Venster wat sonder daardie nota eindig, word by die volgende opdatering weer betwis.