من Access Server إلى Community OpenVPN: ما الذي يجب إعادة بنائه

يتحدث Access Server و Community OpenVPN البروتوكول نفسه ولا يكادان يتشابهان في أي شيء آخر. المصافحة وتفاوض التشفير ومستوى بيانات النفق متوافقة، لذا يمكن للعميل غالبا الاتصال بأحدهما دون تعديل ملف التعريف. الاختلاف في من يملك الإعداد: منتج واحد يقدم طبقة إدارة تكتب السياسة وتفرضها، بينما يمنحك الآخر ملف إعداد ومجموعة من الخطافات ويتوقع منك أن تقرر.

هذا التمييز هو خطة الترحيل. كل ما قرره المنتج القديم نيابة عنك يجب أن يصبح قرارا صريحا في مكان ما من النشر الجديد.

أين يتوقف النشران عن أن يكونا قابلين للتبادل

في Access Server تدير واجهة الإدارة عبر الويب المستخدمين والمجموعات والأذونات لكل مستخدم وإصدار الشهادات وحزمة ملف التعريف التي ينزلها الشخص. يضبط البرنامج الخفي تحتها بفضل تلك الطبقة، لذا فالخدمة العاملة نتيجة حالة مخزنة نادرا ما تحررها يدويا. في Community OpenVPN ملف الإعداد هو الحالة: يحدد المستمع وجهة إصدار الشهادات وخطاف المصادقة وكل خيار يدفع، ولا شيء يعيد كتابته لك. لذلك تعمل آلة TLS نفسها في ظل نموذجي ملكية مختلفين جدا.

خريطة قصيرة تجعل الفجوة ملموسة. المستخدمون والمجموعات موجودون فقط في قاعدة البيانات القديمة حتى تعيد إنشاءهم. تصبح حزم ملف التعريف ملف إعداد إضافة إلى شهادات توزعها بنفسك. تصبح أذونات كل مستخدم توجيهات داخل client-config-dir. تصبح واجهة الإدارة أي عملية تختارها لإصدار الشهادات وتحرير الملفات.

اكتب تلك الخريطة قبل لمس أي خادم. كل صف لا تستطيع ملأه هو ميزة على وشك أن تفقدها، وفقدان واحدة بصمت هو الطريق الذي يجعل الترحيل انقطاعا بعد أسبوعين.

الهوية لا تنتقل مع ملفات الشهادات

قد تحلل شهادات الجهة القديمة بشكل صحيح في الخدمة الجديدة وتبقى الهوية خاطئة، لأن المنتج القديم قرنها بحالة حساب لا يراها الجديد. قرر أولا ما إذا كان النشر الجديد يصادق بالشهادة وحدها، أو بإضافة تصل إلى PAM أو RADIUS، أو بمزيج من ذلك، ثم تحقق من أن كل خيار يحفظ الخصائص التي تحتاجها. الشهادة المشتركة بلا هوية لكل مستخدم هي بيانات اعتماد واحدة لكل من يحملها. ويجب أن يعمل الإبطال من اليوم الأول أيضا، وهذا يعني في Community OpenVPN ملف CRL تشير إليه crl-verify إضافة إلى عملية تعيد توليده.

خطط للتسجيل قبل التحويل لا بعده. الشهادات الجديدة ومسار إبطال مختب ر وطريقة موثقة لتعطيل شخص واحد شروط مسبقة لا عمل لاحق. وإذا جاءت المصادقة متعددة العوامل من تكامل المنتج القديم فسم البديل صراحة، لأن إضافة غير مثبتة تفشل مغلقة في أسوأ لحظة ممكنة.

المسارات وحل الأسماء يتبعان كاتب الإعداد

المسارات وإعدادات DNS وسلوك النفق الكامل خيارات مدفوعة في كلا المنتجين، لكن واحدا منهما فقط يحسبها لك. في Community OpenVPN تكتب توجيهات الدفع بنفسك، وتقرر ما إذا كان redirect-gateway ينتمي إلى الخادم أو العميل، وتؤكد وجود إعادة التوجيه و NAT على المضيف. المصافحة المكتملة لا تخبرك شيئا عن إعادة التوجيه أو ترجمة العناوين أو المسارات التي تلقاها العميل فعليا.

يحتاج السلوك لكل عميل إلى client-config-dir وإلى ملف باسم الاسم الشائع لشهادة العميل، ويحتاج النظير بين موقعين إلى مدخلات iroute للبادئات وراءه. أخطئ في التسمية تهمل الخيارات دون خطأ. اختبر بعميل واحد غير إنتاجي في مجموعة عناوين خاصة به، ثم اقرأ العنوان الذي أسند إليه والمسارات التي أعطيت له وإعدادات المفسر التي انتهى إليها.

رتب التحويل بحيث يستطيع القديم العودة

شغل المستمع الجديد على منفذ أو عنوان مختلف، وأبق القديم يخدم الحركة بينما تثبت البديل. برنامجان خفيان على مقبس واحد ليسا خطة تراجع.

انقل مجموعة واحدة في كل مرة، بشهاداتها ومجموعتها ومساراتها، وتدرب على مسار العودة بدل اكتشافه أثناء حادث. التراجع الذي يعمل فقط إذا أوقفت الخدمة الجديدة أولا يبقى تراجعا، لكن يجب اختباره دون أن يكون هناك حريق.

أخيرا، اسرد الميزات التي لا مقابل مباشر لها وقرر مصير كل منها كتابة: تنزيل ملف التعريف الذاتي، وأعلام الأذونات لكل مستخدم، وواجهة الإدارة نفسها، وتقارير الاتصالات الحية. استبدالها بعملية يدوية موثقة إجابة مشروعة. ترك الصف فارغا ليس كذلك.

ينتهي العمل عندما يستطيع مستخدم لم ير البوابة القديمة قط أن يسجل ويتصل ويصل إلى العنوان الداخلي المقصود ويبطل بنظافة. كل ما قبل ذلك تحضير.